恶意代码分析实战——Lab03-03.exe基础动态分析篇

恶意代码分析实战——Lab03-03.exe基础动态分析篇

一、实验目的

综合运用多种工具，通过基础动态分析，了解Lab03-03.exe实现的基本功能

二、实验环境

winxp虚拟机
kali虚拟机

三、实验过程

（一）静态分析

1、MD5值

2、peid分析

peid显示它并没有加壳，但是用strings查看可打印字符串时，没有发现任何有用的信息，只是一些乱码。

3、PEview分析

将它拖到peview中查看，发现各节头表的虚拟内存大小均小于原始内存大小，好吧，所以确定Lab03-03.exe确实没有加壳，但是在它的导入函数列表中发现了GetProcAddress和LoadLibrary两个函数，这两个函数可以允许程序访问系统中任何库内的任何函数，是一个程序被加壳或混淆时通常存在的函数，所以该程序可能使用了一些其它的混淆技术吧。





然后我们再次查看它的导入函数列表，发现了许多与文件和进程相关操作的函数

所以猜测Lab03-03.exe是对内存中的某些文件进行创建修改删除等恶意操作

（二）动态分析

在程序运行前我们先分别打开Process Explorer，Process Monitor以及ApateDNS虚拟网络配置

1、Regshot注册表分析

注册表并没有提供有用的信息，该程序并没有对注册表做出明显的修改

2、ApateDNS

ApateDNS也并没有捕获到明显的网络特征，只是在程序执行1分钟后进行了APR请求。

3、Process Explorer分析

发现在执行Lab03-03.exe后，其自动结束进程并留下了一个svchost.exe子程序，并且发现每运行一下Lab03-03.exe都会留下一个“孤儿"程序svchost.exe，我们双击这个孤儿进程svchost.exe，点击strings分别查看它磁盘映像和内存映像的字符串列表


发现它内存映像的字符串列表明显和磁盘映像的字符串列表不一样，说明对内存中的svchost做出了修改，并且下滑后发现一个practicalmalwareanalysis.log文件以及[SHIFT],[ENTER]等与键盘输入相关的字符，所以可以猜测他是一个击键记录器。

4、Process Monitor分析

为了证明我们的猜测，我们打开一个记事本，随便输入一些信息，查看是否对键盘操作进行了记录。
在Monitor中对孤儿进程svchost(3712)进行过滤,之后点击ctrl+x将原有的捕获到的进程清除掉，然后新建一个记事本随便写入一些信息。

正如猜测的一样，svchost正在创建和写入一个名为practicalmalwareanalysis.log的文件，而这个文件就在Lab03-03.exe的同目录下

我们打开practicalmalwareanalysis.log文件，发现里面记录的就是我们刚刚的操作。

四、实验结论

Lab03-03.exe对svchost.exe执行了进程体会，来启动一个击键记录器，将所记录的内容存放在同目录下的practicalmalwareanalysis.log文件中。