msng病毒分析

~巴哥~

于 2023-11-28 17:26:52 发布

阅读量1.5k

点赞数 18

分类专栏：恶意代码分析文章标签：恶意代码分析

本文链接：https://blog.csdn.net/a854596855/article/details/134672573

版权

恶意代码分析专栏收录该内容

34 篇文章 3 订阅

订阅专栏

这是一个非常古老的文件夹病毒，使用XP系统的文件夹图标，采用VB语言开发，使用了一种自定义的壳来保护，会打开网址http://www.OpenClose.ir,通过软盘、U盘和共享目录进行传播，会在U盘所有的目录下生成自身的副本，根据目录名来生成不同的文件名。有一定的对抗杀软的能力。

样本的基本信息

MD5: 7b4983962fe9d740d6ec5fb153a0525f
SHA1: 114d4cdfb3f0e73eabc449d0877f36a683defff4
SHA256: f05c0989b3f10e921a6acc9c8b5d781bc4818b070cf4729bd422e673a5e6dd19

样本使用xp系统的文件夹图标。使用了一种变形的壳进行保护。

# 脱壳过程

vb程序的入口点一般为一条push命令，这里实际上压入的是一个指针，指向的是VBHeader结构体，然后就是call指令调用MSVBVM60.dll中的ThunRTMain。这两条指令的目的是调用ThunRTMain函数初始化各种变量。

我们首先找到MSVBVM60.dll中的ThunRTMain的地址，下断点，看它的返回地址。

用IDA打开系统内C:\WINDOWS\system32\msvbvm60.dll，发现ThunRTMain的导出地址为

0x733935A4。

，用OD将msng.exe的样本跑起来，在733935A4处下断点。断下之后，看栈中的返回地址，如下图所示，返回地址为00401A5A，这个地址-10就是程序的入口点，0x401a50。

重新用OD跑样本，在0x401a50处下硬件执行断点，F9继下之后，使用Ollydump插件脱壳即可。

0012FFBC   00401A5A  返回到 1.00401A5A 来自 1.00401A4A
0012FFC0   00401AEC  1.00401AEC
0012FFC4   7C817077  返回到 kernel32.7C817077

病毒行为

结合VB Decompiler Pro的结果，使用IDA和od对病毒进行分析。

感染系统的过程

将自己拷贝到C:\windows\system32\msng.exe，并在注册表表中添加开机启动项 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msng="C:\WINDOWS\system32\msng.exe"。

将C:\WINDOWS\system32\Rundll32.exe拷贝为C:\WINDOWS\system32\rundII32.exe，

将自身拷贝为C:\WINDOWS\system32\Rundll32.exe。

启动C:\WINDOWS\system32\Rundll32.exe fuckystart

隐藏文件后缀名，设置注册表HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\HideFileExt=0。

传播方式

若当前进程名为rundll32，参数为fuckystart的话，读取注册表 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\LanmanServer\Shares 遍历共享目录，感染共享目录。

寻找窗口名为3.5 Floppy (A:)，3.5 Floppy (B:)，Copying...的窗口，感染中对应的驱动器。

不断获取当前活动窗口的标题，找到下面这样的窗口，使用SendMessage(hWnd, WM_CLOSE, 0, 0)的方式来关闭窗口，应该是为了对抗杀软。

*task*manager*
system configuration utility
*anti*
*kill*
*virus*
*worm*
*remover*

遍历USB驱动器，在每个目录下创建自身的副本，文件名是根据目录名随机生成的，如下所示。

目录名*mp3*，会生成如下形式的文件
Ebi
Kamran & Homan
Omid
Scooter
Britney Spears

目录名*show*
Mansour
Black Cats
Andy
The Boys
Britney Spears

目录*game*
New Game
War Craft
Mario
Super Snake
Chess Master

目录*picture*
New Pictures
Angelina Jolie
Hot
Priceless
Funny

目录名*music*
Soft
Rock
Blues
Classic
Jaz

目录*video*
my videos
Private
Home
2007.04.30
hot


目录名*document*
my docs
home work
Final
New Docs
Clips

若没有匹配到上面的模式的话，使用下面的文件名
Video
Clips
Documents
My Documents
New Folder
Angelina Jolie
WallPapers
MP3
Show
New
HOT
Fun
Games
Flash  Games
Favorites

使用系统默认浏览器打开 http://www.OpenClose.ir。目前该域名已经不能访问了。

在文件 C:\~0002ftd.tmp中保存病毒的起始目录，然后将其删除。

IOC

hash
MD5: 7b4983962fe9d740d6ec5fb153a0525f
SHA1: 114d4cdfb3f0e73eabc449d0877f36a683defff4
SHA256: f05c0989b3f10e921a6acc9c8b5d781bc4818b070cf4729bd422e673a5e6dd19

file
C:\windows\system32\msng.exe
C:\WINDOWS\system32\Rundll32.exe
C:\WINDOWS\system32\rundII32.exe
C:\~0002ftd.tmp

U盘
会在U盘第个目录下生成一个副本，会根据当前目录名随机生成一个文件名，如下所示，当U盘中有以下文件时就要 小心了
*mp3*
Ebi
Kamran & Homan
Omid
Scooter
Britney Spears

*show*
Mansour
Black Cats
Andy
The Boys
Britney Spears

*game*
New Game
War Craft
Mario
Super Snake
Chess Master

*picture*
New Pictures
Angelina Jolie
Hot
Priceless
Funny

*music*
Soft
Rock
Blues
Classic
Jaz

*video*
my videos
Private
Home
2007.04.30
hot


*document*
my docs
home work
Final
New Docs
Clips


Video
Clips
Documents
My Documents
New Folder
Angelina Jolie
WallPapers
MP3
Show
New
HOT
Fun
Games
Flash  Games
Favorites

注册表
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msng="C:\WINDOWS\system32\msng.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\HideFileExt=0