恶意代码分析实战Lab1201

最新推荐文章于 2024-10-21 08:27:42 发布
原创 最新推荐文章于 2024-10-21 08:27:42 发布 · 312 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文通过使用procexp工具分析了explorer.exe进程中的可疑DLL注入现象，并发现该DLL导致每分钟弹窗一次的问题。通过重启相关进程成功移除了恶意DLL。

分析exe：

先看看psapi.dll这个是不是系统dll：系统进程状态支持模块

这里可能是对explorer.exe的监听

动态运行：

每割一段时间会弹框

在dll中发现：


每隔一分钟会弹框一次

用procexp分析explorer.exe，发现是个DLL注入

RESTART这个进程一下，就可以注入的dll删掉了

直接重启电脑也行

说明这个恶意程序是个一次性的

恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析
妙蛙种子吃了都会妙妙秒的妙脆角的博客
12-09 2134
恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析 1.实验目的 分析Lab06-01.exe~Lab06-04.exe 2.实验环境（硬件、软件） Winxp虚拟机： 硬件：处理器Intel® Core™ i5-10210U CPU @ 1.60GHz 2.11 GHz 软件：32位操作系统 3.实验步骤 (一)Lab06-01.exe 1、由main函数调用的唯一子过程中发现的主要代码结构是什么？ 先声明了一个局部变量var_4，然后调用了InternetGetConn
恶意代码分析实战Lab0301
ACdream
01-28 1110
先查壳 看到PEncrypt 3.1 Final -> junkcode的壳，没见过。上次下载的万能脱壳机脱不下来这个 于是网上先找了一波脱壳教程 https://bbs.pediy.com/thread-90089.htm 找到了这个脱壳的案例和教程，链接底下也有demo下载可供调试（学会了这个用这种方式还是脱不下来这个题的） 最后想到了内存DUMP的办法，即使我不
《恶意代码分析实战》官方实验样本
01-13
学习恶意代码分析，从官方下载的《恶意代码分析实战》课后实验样本。
恶意代码分析实战
博文视点（北京）官方博客
05-28 8093
安全技术大系 恶意代码分析实战（最权威的恶意代码分析指南，理论实践分析并重，业内人手一册的宝典） 【美】Michael Sikorski（迈克尔.斯科尔斯基）, Andrew Honig（安德鲁.哈尼克）著   诸葛建伟 姜辉 张光凯 译 ISBN 978-7-121-22468-3 2014年4月出版 定价：128.00元 732页 16开 编辑推荐 不管你是否有恶意代码
恶意代码分析实战 5 分析恶意Windows程序
农夫果园好好喝的博客
01-24 1407
本次实验分析lab07-01.exe,lab07-02.exe,先来看lab07-01.exe的问题首先，查看导入函数。OpenSCManagerA和CreateServiceA函数暗示着这个恶意代码可能创建一个服务，来保证它在系统被重启后运行，StartServiceCtrlDispatcherA导入函数提示了这个文件是一个服务。调用了StartServiceCtrlDispatcherA函数，这个函数被程序用来实现一个服务，并且它通常立立即被调用。
恶意代码分析实战Lab09-01.exe
weixin_41487541的博客
03-01 943
首先进行查壳，使用peid查询后发现无壳。之后静态分析应该进行查看字符串和导入表，但是这个程序有点大，也都会一步步分析到字符串和导入表，所以这两步跟动静分析一起结合。 IDA打开实验文件，在主函数开始首先看到命令行参数检查： 在402afd处看到对argc的比较，若参数个数为1则进入左侧执行，否则进入右侧。应注意的是在没有手动增加命令行参数时参数个数为1，就是如下效果： 所以若在不加参数情况时，会进入左侧执行：调用sub_401000函数： ...
精选资源
恶意代码分析实战课后练习题
11-04
在恶意代码分析领域，实战经验至关重要。"恶意代码分析实战课后练习题"是一份针对这一主题的专业训练材料，旨在帮助学习者加深对恶意代码理解并提升分析技能。本资料结合MATLAB的学习，将理论与实践相结合，为学员...
恶意代码分析与实战lab3
qq_74420726的博客
10-13 1180
它集成了 Filemon 和 Regmon 的功能，可以帮助分析和调试系统问题，追踪应用程序的行为，特别是在恶意软件分析中，它是检测和跟踪恶意软件行为的有力工具。Process Explorer 是一个高级的系统任务管理工具，能够显示详细的系统信息，包括正在运行的进程、打开的句柄和加载的 DLL。在一个安全的环境中执行Lab03-03.exe文件中发现的恶意代码，同时使用基础的动态行为分析工具监视它的行为。使用基础的动态行为分析工具来分析在Lab03-04.exe文件中发现的恶意代码。
恶意代码分析实战lab12-4
qq_49243247的博客
07-11 352
恶意代码分实战详细分析
恶意代码分析实战Lab1
weixin_47038938的博客
01-25 6962
Lab1-1恶意代码分析实战恶意代码样本下载Lab1-1二、使用步骤1.引入库2.读入数据总结 恶意代码分析实战 Michael Sikorski Andrew Honig 著 诸葛建伟 姜辉 张光凯 译 恶意代码样本下载 前言-先决条件-恶意代码样本下载链接： https://practicalmalwareanalysis.com/ 1.点击Labs 2.点击Download NOTE: We provide a self-extracting archive and an encrypted
恶意样本分析实战——SmokeLoader
weixin_51409218的博客
08-29 639
恶意样本分析实战——SmokeLoader
恶意代码分析实战实验Lab 1-2 + Lab 1-3 + Lab 1-4
m0_37442062的博客
05-04 1461
Lab 1-2 问题 1.将Lab01-02.exe文件上传至http://www.VirusTotal.com/进行分析并查看报告。文件匹配到了已有的反病毒软件特征吗？ 2.是否有这个文件被加壳或混淆的任何迹象？如何是这样，这些迹象是什么？如果该文件被加壳，请进行脱壳，如果可能的话。 PEID 通过EP段为UPX1和什么都没找到可以推断这个样本存在加壳的情况，使用linxerUnpacker工具脱壳，使用壳特征脱壳和OEP侦测脱壳均未成功，说明不是已知壳，点击未知壳脱壳，成功。 对于脱壳后的exe文
恶意代码分析实战 Lab13
baidu_41108490的博客
06-01 1462
lab13-0112首先调用sub_401300函数程序是一系列的资源操作函数,目的是找到资源存到内存在调用401190解密,可以到,是在和3bh进行异或解密,最后把数据地址传回我们用resourcehaacker看一下把它保存二进制文件再用winhex打开,再把数据异或3bh,得到一个url接着看程序,调用WSAStartup,wsa启动命令然后两个sleep(分别睡了500ms和30000ms...
恶意代码分析实战3-2
Yale的博客
09-19 595
使用动态分析基础技术来分析lab03-02.exe Q1怎样才能让这个恶意代码自行安装 Q2在安装之后，如何让恶意代码运行起来 Q3怎么能找到这个恶意代码是在哪个进程下运行的 Q4在procmon工具中设置什么样的过滤器，才能收集这个恶意代码的信息 Q5这个恶意代码在主机上的感染迹象特征是什么 Q6这个恶意代码是否存在一些有用的网络特征码 依次分析 首先静态分析 首先peview载入分析 ​ 分别来看看导入函数导出函数 先看导出函数 ​ 从导出函数servicemain可以知道，这次的文件需要安装成一个服务
恶意代码分析实战 Lab16-02
wangtiankuo的博客
08-30 793
知识点： TLS回调 TLS回调被用来在程序入口点执行之前运行代码。若可执行程序的PE头部包含一个.tls段，则可能此程序使用了反调试技术。 分析报告 1． 样本概况 样本名称Lab16-02.exe，编译器为Microsoft Visual C++ v6.0。 1.1样本信息 样本名称：Lab16-02.exe MD5值： E88B0D6398970E74DE1DE457B971
《恶意代码分析实战》实验——Labs-15
草草君
04-21 505
《恶意代码分析实战》实验——Labs-15 记录《恶意代码分析实战》中的实验，相关链接： 电子书的下载 标题《恶意代码分析实战》实验——Labs-15Labs-15-01实验静态分析：IDA分析问题Labs-15-02实验静态分析：IDA分析问题Labs-15-03实验静态分析：IDA分析问题 Labs-15-01实验 Lab15-01.exe 静态分析： 查壳——无壳 查看输入表——MSVCRT.dll Strings分析——出现比较有意思的字符串 IDA分析 在main函数中发现xor
《恶意代码分析实战》实验——Labs-14
草草君
04-21 819
《恶意代码分析实战》实验——Labs-14 记录《恶意代码分析实战》中的实验，相关链接： 电子书的下载 标题《恶意代码分析实战》实验——Labs-14Labs-14-01实验静态分析：IDA分析动态分析搭建HTTP服务进行动态分析问题Labs-14-02实验静态分析：IDA分析动态分析问题Labs-14-03实验静态分析：IDA分析问题 Labs-14-01实验 样本：Lab14-01.exe 静态分析： 查壳——无壳 查看输入表—— Kernel32.dll：睡眠，创建终止进程，加载库文件等函数
恶意代码分析与实战lab5
最新发布
qq_74420726的博客
10-21 1163
实验目的 （1）完成教材上lab5的题目； （2）在样本分析结果的基础上，编写样本的Yara检测规则。 （3）尝试编写IDA Python脚本来辅助样本分析。 实验原理 IDA Python 是 IDA Pro 的强大脚本接口，它允许我们通过 Python 语言与 IDA 的各种分析功能进行交互。IDA Python 提供了丰富的 API 和库来辅助逆向工程和二进制分析。以下是一些常用的 IDA Python 特有函数和库： 1. idc 模块 idc 模块包含了 IDA 中很多通用的低层次函数，例如操作字
学习笔记-第十四章 恶意代码分析实战
Yes_butter的博客
03-26 1700
第十四章 恶意代码的网络特征 1.网络应对措施。 网络行为的基本属性包括IP地址，TCP端口，以及流量内容等，网络和安全 设备可以利用它们，来提供网络应对措施。根据IP地址和端口，防火墙和路由器可以限制对 网络的访问。 入侵检测系统，入侵防御系统，以及电子邮件和web代理等其他安全应用。 作为常用术语的 入侵检测系统已经过时了。特征不再仅仅用在入侵检测方面，还可以用来检测网络扫描，服 务枚举与分...
恶意代码反虚拟机技术详解与实战分析
本文围绕“恶意代码反虚拟机技术分析”这一主题，深入探讨了攻击者如何利用多种底层机制识别其运行环境是否为虚拟机，并据此决定是否执行恶意行为，从而逃避安全研究人员的动态分析与检测。该技术不仅体现了现代恶意...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值