恶意代码分析实战—实验3-3

实验环境

实验设备环境：windows XP
实验检测工具：process monitor ,porcess explore

实验思路

1、观察恶意程序创建出的进程
2、分析正常进程与恶意程序进程的不同
3、监控并分析恶意程序的特征

实验过程

1、当使用process monitor进行监控的时候，你发现了什么？
打开process explore之后再打开我们的程序Lab03-03.exe，我们会发现，此程序会创建一个svchost.exe并且将自己隐藏了起来，如下：

可以观察到其是一个孤儿进程，即没有父进程。

2、你可以找出任何的内存修改代码么？
我们可以点击此svchost.exe孤儿进程，右击选择properties之后点击strings,切换到Memory模式：

我们可以观察到在内存模式下引入了一个log文件以及一些类似于键盘命令的字符串，而在镜像模式下（Image）并未出现以上字符串，所以可以猜测此程序是检测用户敲击的键盘。

3、这个恶意代码在主机上的感染特征是什么？
我们可以在process explore中发现此exe文件的PID值为2808，下面我们就可以使用process monitor进行监控。
获得到所有的操作监控以后我们可以再一次设定过滤条件进行监控：

这个时候我们可以在桌面创建一个文本文件。
过滤结束以后我们可以发现其频繁的对log文件进行了操作：

现在我们可以跟着其目录查看一下这个log文件：

我们可以在我们进行检测之后创建的文本信息以及敲击的键盘都被记录了下来。
4、恶意代码的目的是什么？
其首先创建了一个svchost.exe孤儿程序，目的是为了隐藏自己，之后利用svchost.exe调用了一个键盘记录程序，并将用户敲击键盘的信息记录在一个log文件中。

实验心得

此实验主要参考i春秋发布的《恶意代码分析实战》课程