16、IDA逆向分析与恶意二进制调试指南

IDA逆向分析与恶意二进制调试指南

1. IDA中的程序字节修补

在对32位恶意软件DLL（TDSS rootkit）的分析中，我们发现它会进行检查，确保自身在 spoolsv.exe 进程下运行。这个检查是通过字符串比较完成的，代码如下：

10001BF2     push offset aSpoolsv_exe  ; "spoolsv.exe"
10001BF7     push edi                  ; char *
10001BF8     call _stricmp  ➊
10001BFD     test eax, eax
10001BFF     pop ecx
10001C00     pop ecx
10001C01     jnz loc_10001CF9
[REMOVED]
10001CF9 loc_10001CF9: ➋      ; CODE XREF: DllEntryPoint+10j
10001CF9      xor  eax, eax
10001CFB      pop  edi
10001CFC      pop  esi
10001CFD      pop  ebx
10001CFE      leave
10001CFF      retn 0Ch

如果字符串比较失败，代码会跳转到函数末尾并返回。只有当该DLL被 spoolsv.exe 加载时，才会产生恶意行为。

若想让该恶意DLL在其他进程（如 notepad.exe ）中