恶意代码分析实战 Lab1

Lab 1-1

1将Lab01-01.exe文件传上www.virustotal.com可以看到文件匹配到已有的反病毒软件特征,部分截图如下:

可以看到,大部分匹配到了w32/Ramnit系列病毒特征

2使用petool分别查看lab01-01.dll和lab01-01.exe的编译时间,截图如下:

第一个是.exe第二个是.dll,可以看到两个文件的编译时间仅仅相差19秒.

3看是否加壳最快的当然是用PEID看一下就好,不存在加密混淆.

4从上面的截图可以看出,恶意程序执行一些文件操作的行为,查找文件(FindFirstFileA,FindNextFilesA),创建文件(CreateFileA),读写文件(CopyFileA),创建内存映射对象(CreateFileMappingA),.dll文件创建进程执行程序(CreateProcess),创建互斥量(OpenMutexA) 联网(WS2_32.dll)等行为

5用IDApro查看.exe文件字符串截图如下:

可以看到两个kernel32.dll的细微差别,一个是kernel32