【网络安全】Xred蠕虫再分析及修复工具编写

最新推荐文章于 2024-07-29 10:51:36 发布

IT老涵

最新推荐文章于 2024-07-29 10:51:36 发布

阅读量5.2k

点赞数 2

分类专栏：安全网络黑客文章标签： web安全安全网络网络安全

本文链接：https://blog.csdn.net/HBohan/article/details/121715705

版权

本文详细分析了Xred蠕虫的行为，包括蠕虫模块、EXE和XLSX文件的感染过程，以及提供了解决方案。蠕虫通过感染EXE和XLSX文件在用户系统中潜伏，修复工具利用COM组件进行文件修复。解决方案包括查找并关闭病毒进程，清除自启动项，修复被感染的EXE和XLSX文件。

摘要由CSDN通过智能技术生成

这个病毒很老了，已经有很多前辈分析过该病毒，跟着前辈们的思路深入分析一下，并编写一个清理工具。这是我分析的第一个真实环境下的恶意样本，文中如果有不正确的地方请指正。只需要清理工具的话，直接下滑到
解决方案一节。

病毒行为总览

代码使用Delphi7编写，后续分析汇编代码发现有对XP系统和更高版本windows做了兼容处理，在这些系统上都可以正确感染，年代久远(我还没用过xp…)。被感染机器的 C:\ProgramData\目录下会有Synaptics目录，其下包含原始的恶意样本，但是图标不固定（图标会更新为最近一次运行被感染exe文件的图标），病毒生成的大部分文件都将其设置为隐藏文件和系统文件（Exlporer设置显示隐藏文件和系统文件或命令行下attrib即可看到）。
在这里插入图片描述
被感染机器的Desktop、Documents、Downloads目录下的32位EXE文件和xlsx文件都会被掉包，但是用户并不会有察觉，导致文件分享给他人时，大范围感染。