高级病毒分析(上)
教程参考自《恶意代码分析实战》
程序来自:http://www.nostarch.com/malware.htm
Lab 11-1
本节实验使用样本Lab11-01.exe。
这个恶意代码向磁盘释放了什么?
查看导入表,有资源操作相关的API,直觉告诉我们该病毒会从资源节中读取并释放文件。
果不出其然,病毒读取资源节中的数据后,将其写入当前路径的msgina32.dll文件中。
这个恶意代码如何进行驻留?
定位到注册表API,发现病毒对HKLM…\Winlogon\GinaDLL进行了篡改,与Run启动项不同,该注册表项的利用过程相较复杂点,
GINA(微软图形识别和验证界面)设计的初衷是作为一个给第三方DIY登陆过程的接口,只要在GinaDLL键值中配置自己的dll,该dll就能在开机时被Winlogon自动加载。所以,病毒常使用这种方法来加载恶意dll,如下,将msgina32.dll(这名字起到了混淆作用)设置为GinaDll的值,就达到了持久化攻击的目的。