鬼影病毒6.0分析

最新推荐文章于 2022-09-25 15:54:57 发布

G4rb3n

最新推荐文章于 2022-09-25 15:54:57 发布

阅读量3.5k

点赞数 4

分类专栏：恶意软件分析文章标签：病毒分析

本文链接：https://blog.csdn.net/m0_37552052/article/details/94140560

版权

本文详细分析了鬼影病毒6.0的运作机制，包括创建用户、释放驱动、虚拟机检测、持久化攻击及模块功能。病毒通过创建mima1用户执行ipconfig，释放p2phook.sys驱动并注册服务，调用safemon.dll进行提权和注入。此外，还利用beep.sys实现开机自启动，并监控p2phook.sys以确保其存在。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

原理图

文件名	功能
1001.exe	主模块
camhgzsswk.sys	释放模块
p2phook.sys	释放模块的克隆
p2pc.ini	攻击模块配置文件
safemon.dll	注入攻击模块
beep.sys	持久化攻击模块

主模块1001.exe

[1]创建用户mima1，运行ipconfig进行掩饰。
[2]释放病毒驱动sys文件。
[3]将病毒驱动注册成服务并启动。
[4]调用safemon.dll的p2pr函数。
[5]删除用户mima1。
[6]删除病毒驱动sys文件。
[7]运行iexplorer访问网页http://xytets.com:2345/t.asp?1002vm。
[8]退出程序。

使用Exeinfo查壳，发现该样本加了VMP2.0的壳，这个壳比较难脱，直接带壳调试。脱壳步骤见：https://blog.csdn.net/m0_37552052/article/details/94129436