恶意代码分析实战17-2

最新推荐文章于 2024-10-25 14:27:46 发布

原创最新推荐文章于 2024-10-25 14:27:46 发布 · 294 阅读

0 ·

CC 4.0 BY-SA版权

malware 专栏收录该内容

43 篇文章

订阅专栏

本文详细分析了一个恶意DLL文件，揭示了其导出函数的功能，如InstallRT、InstallSA和InstallSB，涉及注册表操作、服务创建、进程注入等。恶意代码使用x86指令检测虚拟机，并在运行时通过DLL注入启动。通过修改特定字符串和指令，可以禁用反虚拟机技术并强制安装。此外，还探讨了如何通过服务安装和进程注入实现持久化激活。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

本次实验我们将会分析 lab17-02文件。先来看看要求解答的问题
Q1.这个DLL导出了什么?
Q2.尝试使用rundll.32.exe安装后，都发生了什么?
Q3.它创建了哪些文件，这些文件都包含什么内容?
Q4.它使用何种反虚拟机方法?
Q5.在恶意代码运行时，怎么强制安装它。
Q6.怎样可以永久禁用这些反虚拟机技术?
Q7.每个安装的导出函数是如何工作的?

将dll文件载入peview
在这里插入图片描述

可以看到大量的导入函数，包括：
RegSetValueEx：操作注册表
ChangeService：操作服务
BitBlt：屏幕抓取
CreateToolhelp32Snapshot：列举进程
CreateRemoteThread：进程注入
WS2_32.dll：网络功能
还有导出函数
在这里插入图片描述

这些导出函数基本都是用于恶意代码的安装与卸载
Q1.这个DLL导出了什么?
A1.导出函数是InstallRT、 InstallSA、 InstallSB、 PSLIST、 ServiceMain、 StartEXS、UninstallRT、UninstallSA，以及UninstallSB
上图中ServiceMain说明恶意代码可能作为一个服务运行
接下来我们运行，并用process monitor监控
设置好过滤器
然后使用rundll32.exe运行
在这里插入图片描述

此时在我们原先放置lab17-02.dll的目录下，该dll被删除了，多了一个xinstall.log
打开文件，内容如下
在这里插入图片描述

说明二进制程序中存在反虚拟机技术

Q2.尝试使用rundll.32.exe安装后，都发生了什么?
A2.DLL被从系统中删除，同时多了一个log文件。

检查process monitor的监控结果
在这里插入图片描述

有创建、读写log的行为，同时可以看到创建一个bat文件，推测这是用于删除使用的

接下来我们使用IDA继续分析
打开strings窗口搜索bat关键字符串
在这里插入图片描述

双击，然后查看交叉引用
在这里插入图片描述

跟入sub_100056667
在这里插入图片描述

可以看到这个函数就是用于写入bat文件的自删除脚本代码
Q3.它创建了哪些文件，这些文件都包含什么内容?
A3.创建一个包含自我删除代码的.bat文件，同时还创建一个包含字符串Found Virtual Machine,Install Cancel的xinstall.log文件。
对该函数查看交叉引用
在这里插入图片描述

先跟入第一处InstallRT
在这里插入图片描述

在调用的上方，看见了我们在xinstall,log中看到字符串，而其前后都调用了sub_10003592
跟入后可知
在这里插入图片描述

第一处调用是为了打开xinstall.log
在这里插入图片描述

第二处则是为了写入那个字符串
回到上层函数，我们可以看到有两条路径可以走到
在这里插入图片描述

绿色的是在调用sub_10006119,红色的多调用了一个sub_10006196
sub_10006119如下所示
在这里插入图片描述

这是用于清零eax
来看看sub_10006196
在这里插入图片描述

100061c7处，magic数0x564d5868（VMXh）被载入到EAX
100061d1将执行动作0xA载入ECX，0xA表示获取VMware的版本信息
100061D6将虚拟端口0x5658载入到EDX
100061db处代码使用in指令查询I/O通信端口（0x5668）（vmware在虚拟机与宿主操作系统之间使用虚拟I/O端口通信）
100061dc处通过cmp检查magic数的回应
100061e2处比较结果被送入var_1c
在100061fa将var_1c送入AL
可以看到这里在检测虚拟机时，不关心vmware的版本，而只是通过magic值来查看I/O通信端口的回应
在运行时，我们可以用NOP替换in指令，绕过后门I/O通信端口技术，使得程序完成安装
Q4.它使用何种反虚拟机方法?
A4.恶意代码使用x86指令in，用magic值VX和动作0xA查询VMware的后门I/O通信端口。
Q5.在恶意代码运行时，怎么强制安装它。
A5.为了安装恶意代码，在它运行过程中修补0x100061DB处的in指令。

我们继续分析InstallRT
在这里插入图片描述

通过atoi将字符串转为数字，要转换的内容中在off_10019034
在这里插入图片描述

[This is DVM]5被载入EAX
然后与0xD相加，相当于将字符串指针移到了5的位置
然后通过atoi将字符串5转为数字5
之后通过test指令查看转换后的数字是否为0
如果不为0，则会往左边走，接着就会执行虚拟机的检测操作
所以我们如果将字符串[This is DVM]5修改为[This is DVM]0，这样恶意代码就不会进行虚拟机检测了

Q6.怎样可以永久禁用这些反虚拟机技术?
A6. 为了永久性禁用VM检查，用十六进制编辑器将二进制文件中的静态字符串从[This is DVM]5修改为[This is DVM]0。另外，使用OllyDbg用NOP替换检查指令，并且将修改写入硬盘。

我们在下图的静态配置选项中
在这里插入图片描述