本文是高级静态逆向分析教程的一部分，重点分析了两个样本的持久化驻留和目的。Lab07-01.exe通过创建自启动服务“MalService”实现持久化，并使用互斥量“HGL345”防止重复运行，执行DDoS攻击。而Lab07-02.exe利用COM接口调用IWebBrowser2打开http://www.malwareanalysisbook.com/ad.htm，没有持久化行为。
高级静态逆向分析（上）
教程参考自《恶意代码分析实战》
程序来自：http://www.nostarch.com/malware.htm
PS：由于高级静态逆向分析过程冗杂，所以本话使用问答的方式进行讲解。
Lab 7-1
本节实验使用样本Lab07-01.exe。
当计算机重启后，这个程序任何确保它继续运行（达到持久化驻留）？
使用IDA打开Lab07-01.exe，切换到导入表视图，一眼就瞟到了几个创建服务的API，跟进查看CreateServiceA函数，发现该样本注册了一个名为“MalService”的服务，而且，服务运行状态（dwStartType）为自启动（0x02），所以可以确定，该样本是通过注册一个自启动服务来实现持久化驻留的。
为什么这个程序会使用一个互斥量？
大部分病毒为了防止自己被重复运行（比如勒索病毒，无需重复运行&#
最低0.47元/天 解锁文章
扫一扫
924
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
