病毒分析教程第六话--高级病毒分析（上）

高级病毒分析（上）

---

教程参考自《恶意代码分析实战》
程序来自：http://www.nostarch.com/malware.htm

---

Lab 11-1

本节实验使用样本Lab11-01.exe。

这个恶意代码向磁盘释放了什么？

查看导入表，有资源操作相关的API，直觉告诉我们该病毒会从资源节中读取并释放文件。

果不出其然，病毒读取资源节中的数据后，将其写入当前路径的msgina32.dll文件中。

这个恶意代码如何进行驻留？

定位到注册表API，发现病毒对HKLM…\Winlogon\GinaDLL进行了篡改，与Run启动项不同，该注册表项的利用过程相较复杂点，

GINA（微软图形识别和验证界面）设计的初衷是作为一个给第三方DIY登陆过程的接口，只要在GinaDLL键值中配置自己的dll，该dll就能在开机时被Winlogon自动加载。所以，病毒常使用这种方法来加载恶意dll，如下，将msgina32.dll（这名字起到了混淆作用）设置为GinaDll的值，就达到了持久化攻击的目的。