Zi 字媒體

█ 1. 樣本概況病毒名稱為3601.exe，運行后無窗口。採用UPX加殼，編寫語言為Microsoft Visual C++ 6.0 。█ 1.1 樣本信息病毒名稱：3601.exe所屬家族：MD5值：a5e4519f7cbb6e7efcff5474bb9179e0SHA1值：E749452E3FDCE42A02313D9D2217405518127C2CCRC32：1BC7519E病毒行為：創建指定網路連接泄露系統信息、刪除自身複製自己到c:\windows目錄文件名、在有exe文件的目錄或者壓縮包（rar、zip）下創建lpk.dll文件。█ 1.2 測試環境及工具環境：WIN732位SP1 工具：OD、IDA、PCHunter█ 2. 具體行為分析█ 2.1 主要行為創建一個新的服務：連接3個指定的網址sbcq.f3322.org在有exe文件的目錄或者壓縮包中釋放lpk.exe。█ 2.2 惡意代碼分析病毒運行會先進行一個註冊表鍵值判斷。首次運行病毒返回值為2，windows系統錯誤，找不到文件。判斷該項目是否有值防止重複操作。 判斷當前運行程序是否在系統目錄。 如果不在系統目錄 生成隨機名字，並將自身賦值到C:\windows目錄下。創建並啟動一個名稱為"Ghijkl Nopqrstu Wxy"的服務。中間設置服務略過。打開註冊表鍵值,設置服務描述為"Ghijklmn Pqrstuvwx Abcdefg Ijklmnop Rst"。調用CMD命令 DEL 刪除自己。 下面看看釋放到c:\windows目錄下的文件又做了什麼。通過查詢"SYSTEM\CurrentControlSet\Services\Ghijkl Nopqrstu Wxy" 鍵值進行判斷如果不成功，創建服務。下面進入服務回調函數，大體行為如下：第一個線程是IPC攻擊。IPC內置了一些弱口令。如果連接成功通過，想複製病毒到目標主機，然後通過AT命令執行計劃任務，啟動病毒。 第二、三、四線程功能基本同區別是創建的sock連接地址不同。sbcq.f3322.org連接指定IP地址。發送一個字元 第二個參數套接字類型，第三個參數 SO_KEEPALIVE 保持連接繼續存在。將獲取到的系統信息發送給指定控制端，等待控制指令大致判斷下 幾個CASE 裡面都做了什麼。下載指定連接的文件保存在本地，文件名稱根據GetTickCount返回值生成，文件路徑文當前文件所在路徑。從這一些列行為可以判斷，這是更新病毒。 調用IE打開指定網址。調用HTTP GET請求發送數據包。 下面分析hra33.dll功能：主要邏輯如下：判斷是否是臨時文件。判斷是否已經運行。載入資源創建進程。感染EXE文件主要代碼。感染壓縮包文件主要代碼：█ 3. 解決方案(或總結)該病毒應該為感染型的蠕蟲病毒，利用了一些IPC貢獻弱口令的缺陷，可以在區域網中傳播。可能下載其他病毒或者木馬程序，對用戶危害極大。█ 3.1 提取病毒的特徵，利用殺毒軟體查殺MD5: B5752252B34A8AF470DB1830CC48504DSHA1: AEC38ADD0AAC1BC59BFAAF1E43DBDAB10E13DB18特徵字元串：sbcq.f3322.org、www.520123.xyz、Ghijkl Nopqrstu Wxy編寫yara規則，掃描。█ 3.2 手工查殺步驟或是工具查殺步驟或是查殺思路等1. 結束服務：Ghijkl Nopqrstu Wxy，刪除服務對應的exe文件。2. 刪除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\ Ghijkl Nopqrstu Wxy下的所有鍵值。3. 刪除C:\windows\system32\hra33.dll。4. 刪除除開C:\WINDOWS\system32和C:WINDOWS\system\dllcache這二個目錄下的lpk.dll文件。本文由看雪論壇 maxK 原創，轉載請註明來自看雪社區熱門閱讀利用OD通過Call調用實現掃雷（win7旗艦版32位）Safengine Shielden 2.3.8.0 脫殼 ∷之∷ 修復IATMetasploit 演練