病毒分析教程第九话--使用IDA远程调试

恶意软件为了避免静态检测，通常会动态生成&调用敏感的字符串及系统API，这种情况就无法单纯使用IDA进行分析了，得进行调试动态地获得这些值。而IDA有个远程调试的功能，很实用，我们下面就来学习如何使用IDA进行远程调试。样本还是上一章的样本：F834F898969CD65DA702F4B4E3D83DD0，下载地址：https://app.any.run/tasks/c7c12977-fdd1-4b1a-b8de-1c8f2806cdfc

我们首先运行下样本，发现该样本会创建一个新的进程并运行，这个应该是我们上一章提到的病毒创建的exe文件。

紧接着，主机就突然关机了？？？什么情况，这病毒难道会检测VM虚拟机，然后关机？

google了下，关机的API是NtShutdownSystem，我们就看看到底是这3个文件里的哪个调用了该函数。

通过字符串搜索，在dump2中发现了NtShutdowSystem字符串，接下来我们就对该样本进行调试，看它如何检测虚拟机的。