Gh0st样本分析

Gh0st样本分析

---

###一.样本信息

• 文件名称: DD668456CF2F3B72773D1968487BDCD5.exe
• 文件大小：110KB
• MD5: DD668456CF2F3B72773D1968487BDCD5
• SHA-1: 4E6D34B68E219BE56D8A1C0DA5B7FB8ECCD282B9

---

###二.样本分析
0x01. GetInputState()用于隐藏加载程序过慢出现的加载符号


0x02. 判断文件末尾有"AAAAAA"和"CCCCCCC"两个标志，并解码在"CCCCCCC"截断后的两个字符串，分别为Microsoft Device Manager和监测和监视新硬件设备并自动更新设备驱动


0x03. 解码成功后获取命令行参数，如果不是Gh0st Update则继续运行，否则结束程序。之后创建互斥体判断是否存在**“AAAAAArqaxva61p72uvaenqaevp6ef"进程有则退出。




0x04. Add_Perm():用于获得"C:\WINDOWS\system32"和"C:\WINDOWS\system32\Drivers"权限。
Add_Acl(): 通过GetFileSecurity和SetFileSecurity设置文件的SecurityDescriptor**，则是在文件ACL中增加一条ACE来获得权限。先取出文件上的ACL，逐条取出ACE，和现需要增加的ACE比较，如果