宏病毒混淆分析

最新推荐文章于 2024-06-15 09:37:27 发布

1行

最新推荐文章于 2024-06-15 09:37:27 发布

阅读量911

点赞数

分类专栏：病毒分析

本文链接：https://blog.csdn.net/A_ZHAZHAL/article/details/104678722

版权

本文介绍了如何分析宏病毒，特别是混淆严重的宏病毒。通过静态分析使用oledump.py工具提取宏代码，动态调试则在Word中利用Shift键配合Alt+F11设置断点，寻找payload执行途径。在调试过程中，发现病毒常利用CMD和PowerShell下载并运行恶意程序。解密过程揭示了混淆的字符串替换机制。文章最后总结了宏病毒的常见目标和提供样本链接供进一步研究。

摘要由CSDN通过智能技术生成

宏病毒混淆分析

前言

很早之前就说要分析宏病毒，一直没机会，现在终于有空闲时间来分析一个混淆的比较厉害的宏病毒了。

静态分析

分析宏病毒时，可以利用 oledump.py 来将宏代码提取出来再进行分析。
使用命令 python oledump.py 文件名，即可查看文件流信息。
下图中的 M 表示该段中有宏代码。
在这里插入图片描述
python oledump.py -s 8 -v 11.dat >1.txt 可以将 8 段中的宏代码提取到 1.txt 中，再进行查看。

利用相同方式将其他几段的宏代码提取出来。

几个文件都是混淆的宏代码，代码量较大，可以直接在 word 中进行调试。
简单截几个图，大家看看。
在这里插入图片描述

宏病毒往往是作为payload的载体，通过创建其他例程，释放运行payload。无论宏病毒前面执行了多么复杂的操作，最后肯定会运行payload，而运行payload的方式可能是Shell、WScript.Shell、Application.Run等，我们可以直接搜索这些字符串迅速定位到运行payload的地方。
在这里插入图片描述