Luckcat攻击事件样本分析(利用cve-2010-2883)

0x00 运行样本分析行为

首先开启process monitor 监控，然后在打开样本文件：
监控到cmd在temp目录下新建了svrhost.exe文件和_uninsep.bat文件。

使用process expoler 发现病毒文件篡改了spoolsv.exe文件植入了恶意dll。

首先去看下_uninsep.dat文件是什么：

发现是一个自删除文件，执行完代码删除tem目录下的恶意文件

0x01 恶意文件反汇编分析

根据路径找到C:\windows\system32\目录下的恶意代码文件：msxml0r.dll文件，
使用peid 查看该文件发现已经被加壳了

使用脱壳工具脱壳：

成功将壳拖下，这时候再把文件拖到ida分析，
首先定位为到dllmain函数，函数调用了如下图的函数，在其中发现代码调用浏览器下载文件的操作，但是很明显字符串被加密过，需要解密出来。

根据ida定位到data是位于0x1000BD00的数据，于是可以把它作为断点进入odb调试：
设置写入断点：

成功定位到解密字符串：

可以发现是3个url，下载了gif恶意文件。