2022/03/26hackthebox取证emo病毒分析报告（下）

本文将对2022/03/25hackthebox取证emo病毒分析报告（上）进行补充和更正
上文说到命令在下面一行执行

Rom9dzby5v3unv8. _
Create AWLDFu7C7y(I51m0kjl96lpdcfhm(Dbx3w8eu9966odzw7)), Kw8r40ymn9ne3xu, Nzkctvs5ewy_ds

当我们打一个断点，发现两行同时被打上了断点
现在用burpsuite看看有什么猫腻
点开decoder模块
上面是原文
下面是我改的
这个0a是换行符
20是空格
源代码是换行
也就是普通换行，不是字符太多自动换行或者空格其他什么的
按Ctrl+F搜索Rom9dzby5v3unv8是什么
结果发现他是winmgmts:win32_Process类
调用了create函数
但是这个写法很怪
下面证明这个写法符合语法

Sub dfsgvfdsg()
On Error Resume Next

Set process = GetObject("winmgmts:Win32_Process")

process. _
Create "notepad.exe", Null, Null, processid

a = process.Create("cmd.exe", Null, Null, processid)

End Sub

当我们换行时要在前一行加一个下划线
后面参数不要括号括起来
如此说明AWLDFu7C7y(I51m0kjl96lpdcfhm(Dbx3w8eu9966odzw7)), Kw8r40ymn9ne3xu, Nzkctvs5ewy_ds都是有用的参数
如果不换行要用括号把参数扩起来，还要一个变量接受返回值
vb的函数返回值是函数名
这样就知道了AWLDFu7C7y为什么有值
且值为执行的命令
这个返回值没有powershell.exe什么的
下面实验证明它能启动powershell

Sub ujehdfiuk()
On Error Resume Next

Set process = GetObject("winmgmts:Win32_Process")

process. _
Create "powershell start-sleep 3", Null, Null, processid


End Sub

powershell弹出来了，成功
上文中的没弄清楚的命令正确翻译在下面

([wmiclass](('wi'+'n')+('32_'+'Proc'+'e')+'s'+'s'))."cR`eaTE"($Scusbkj);

([wmiclass]"Win32_Process").create("C:\Users\xxxxx\Jrbevk4\Ccwr_2h\Ale7g_8.exe")

但是使用这个命令不能打开所有文件
参见Win32_Process.Create fails if user profile is not loaded
但是病毒文件应该是可以打开的
我自己写了个exe可以打开
就此，emo.doc分析完毕