病毒分析教程第七话--进程注入分析（下）

进程注入分析（下）

---

教程参考自《恶意代码分析实战》
程序来自：http://www.nostarch.com/malware.htm

---

Lab 12-4

本节实验使用样本Lab12-04.exe。

拿到样本，我们先使用IDA看下导入表，了解下样本的大概功能。通过这些函数我们猜测样本做了提权、创建读写文件、遍历进程和操作资源节等操作。

现在开始看样本的 main 函数，它主要分为3大部分：动态获取API函数地址、劫持winlogon进程、替换系统文件。

下图是第1部分获取API地址环节，样本通过 GetProcAddress 动态获取 EnumProcessModules、GetModuleBaseName、EnumProcesses 的地址。

第2部分是劫持winlogon环节，样本会先调用 EnumProcess 遍历系统中的进程，然后调用 0x401000 和 0x401174 搜寻 winlogon 并对其执行恶意操作。