3601劫持病毒分析报告

3601劫持病毒分析报告

一、样本相关信息

1.分析环境与分析工具

​ 分析环境：Windows 7 专业版 32 位

​ 分析工具：PEID、OllyDbg、IDA Pro、火绒剑

#####2.分析目标

​ 分析病毒具体的行为，搞清楚病毒的实现原理，给出合理的方式查杀病毒。

3.病毒样本的基本信息

​ 利用在线云沙箱可以查出病毒基本信息，如下图所示。

4.病毒的主要恶意行为

​ 先利用云沙箱获取基本运行情况，如下图所示。

​ 使用火绒剑进行监控，发现病毒第一个恶意行为，进行自我复制和删除，并且释放了lpk.dll文件。

​ 如上图，病毒第二个恶意行为，释放了hra33.dll，RCX632E.tmp文件。

​ 第三个恶意行为，创建了cmd、rar、find进程。

​ 其次，病毒对注册表进行了操作，并且有网络连接。

二、病毒行为分析

2.1脱壳

​ 经查壳工具PEID检查，发现该病毒加了UPX壳。根据ESP定律进行脱壳处理。

2.3 对病毒代码进行分析

​ 主程序首先通过查看注册表键值来确定服务是否创建，若服务未创建则创建并启动服务；若服务已经创建，则对自己进行复制，并且修改相关服务，最后删除自己。并且病毒释放了一个hra33.dll文件。