恶意代码分析实战课后题 Lab12-01

最新推荐文章于 2022-03-04 19:40:48 发布

wangtiankuo

最新推荐文章于 2022-03-04 19:40:48 发布

阅读量1.3k

点赞数 1

分类专栏：逆向恶意代码分析实战文章标签：恶意代码分析实战

本文链接：https://blog.csdn.net/wangtiankuo/article/details/77097536

版权

这篇博客详细分析了恶意样本Lab12-01.exe，该样本使用Microsoft Visual C++ v6.0编写，其主要行为包括每隔1分钟弹出窗口，通过DLL注入技术影响explorer.exe。分析发现，它并未真正使系统重启，而是利用CreateRemoteThread和WriteProcessMemory等函数进行进程注入。通过对Lab12-01.dll的深入分析，揭示了其导致窗口频繁弹出的函数sub_10001030。

摘要由CSDN通过智能技术生成

1. 样本概况
病毒名称Lab12-01.exe，运行后有一个命令行窗口，使用Microsoft Visual C++ v6.0编写。
1.1样本信息
病毒名称：Lab12-01.exe
MD5值： DAFBEA2A91F86BF5E52EFA3BAC3F1B16
SHA1值：6A41735369934A212FC90DBD8C847C26270B3FBA
病毒行为：每隔1min弹出窗口。
1.2测试环境及工具
测试环境：winxp32位
测试工具：OD、IDA、pestudio
1.3分析字符串信息
Lab12-02.exe：
函数OpenProcess、CreateRemoteThread、WriteProcessMemory、VirtualAllocEx，怀疑进程注入。
Lab12-01.dll，调用了此dll，可以查看它的输出函数。
explorer.exe，可能对此进程进行了进程注入。
Lab12-01.dll：
Press OK to reboot，可能会使系统重启，然而并没有。
Practical Malware Analysis %d
2. 具体行为分析
2.1主要行为分析
每隔一段时间就弹出窗口。