Practical Malware Analysis Lab9

最新推荐文章于 2024-04-09 09:59:25 发布

「已注销」

最新推荐文章于 2024-04-09 09:59:25 发布

阅读量621

点赞数

分类专栏：安全逆向工程

本文链接：https://blog.csdn.net/qq_35713009/article/details/88585019

版权

本文详细介绍了Practical Malware Analysis Lab9中的恶意软件行为。当无注册表值或参数错误时，程序会自我删除。程序在注册表中创建键值，并根据参数执行不同任务，如修改键值、创建和删除服务。服务以自启动方式创建，实现开机运行。当程序无参数执行时，执行包括上传、下载、命令行操作等功能。此外，还提到了一个简单的后门，通过创建cmd进程并连接socket实现反向shell功能。

摘要由CSDN通过智能技术生成

Lab9-1

不走程序直接逆。标注完的主函数如下

int __cdecl main(int argc, const char **argv, const char **envp)
{
  char port; // [sp+10h] [bp-181Ch]@31
  char ups; // [sp+410h] [bp-141Ch]@31
  char url; // [sp+810h] [bp-101Ch]@31
  char sleep_time; // [sp+C10h] [bp-C1Ch]@31
  CHAR serviceName; // [sp+1024h] [bp-808h]@18
  CHAR ServiceName; // [sp+1428h] [bp-404h]@9
  char *param; // [sp+1828h] [bp-4h]@5

  if ( argc == 1 )
  {
    if ( !sub_401000() )
      del_self();
    sub_402360();
  }
  else
  {
    param = (char *)argv[argc - 1];             // abcd
    if ( !sub_402510(param) )
      del_self();
    if ( _mbscmp((const unsigned __int8 *)argv[1], aIn) )// -in
    {
      if ( _mbscmp((const unsigned __int8 *)argv[1], aRe) )// -re
      {
        if ( _mbscmp((const unsigned __int8 *)argv[1], aC_0) )// -c p7
        {
          if ( _mbscmp((const unsigned __int8 *)argv[1], aCc) )// -cc
            del_self();
          if ( argc != 3 )
            del_self();
          if ( !getKey(&ups, 1024, &url, 1024, &port, 1024, &sleep_time) )// -cc abcd
            sub_402E7E((int)aKSHSPSPerS, (int)&ups);// k:%s h:%s p:%s per:%s
        }
        else
        {
          if ( argc != 7 )                      // -c m n x y abcd
            del_self();
          SetKey(arg