一個有趣的白加黑样本分析

最新推荐文章于 2024-04-16 17:12:52 发布

1行

最新推荐文章于 2024-04-16 17:12:52 发布

阅读量1k

点赞数

分类专栏：病毒分析文章标签：安全 windows 反病毒

本文链接：https://blog.csdn.net/A_ZHAZHAL/article/details/107368410

版权

偶然找到一个白加黑的样本，尝试进行分析，看看是如何运行的。
先放个自己做的样本的流程图吧。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-XOtR1jdT-1594811631693)(assets/ff7f1a61-8020-4794-ad49-2da67b45c094.png)]

文件夹内有3个文件，前两个是隐藏文件，而且虚假后缀为 .bmp 的文件类型是快捷方式，所以判断这几个文件应该是有猫腻的。

在这里插入图片描述

使用 HIEW 对截图.bmp文件进行查看，发现它会调用 rundll32.exe 来加载 reg.dll。

在这里插入图片描述

运行截图.bmp文件，会弹出一个 DNF价格表.jpg，使得用户误以为截图.bmp文件是无毒的，然而一个后缀是.jpg，一个是.bmp(实际是.lnk，一般用户都不把文件后缀打开，所以本文暂时将.lnk文件看成是.bmp吧)

在这里插入图片描述

利用火绒剑监控 rundll32.exe 进程，来查看它调用的程序。发现恶意程序会调用隐藏dll及隐藏文件夹中的dll。

在这里插入图片描述

在进程中发现了有趣的进程出现，QQGame.exe，而我的电脑里可没装这个优秀平台的。

在这里插入图片描述

有个 dllhost.exe 的进程也创建了QQGame.exe。对进程所在的文件目录进行查看，发现有这些可疑文件。大小很可疑，像隐藏文件夹中的一些文件。

在这里插入图片描述

对所有可疑文件进行整理，整理出一个表格，更容易辨别吧。文件的签名可以使用微软的签名查看工具 sigcheck.exe 来查看。

关注