《恶意代码分析实战》实验——Labs-03

《恶意代码分析实战》实验——Labs-03

记录《恶意代码分析实战》中的实验，提供相关链接：

• 电子书的下载
• i春秋由相关实验的视频教程

Labs-03-1实验

目标程序在 Win7 系统下无法执行，具体操作见视频。

Labs-03-2实验

1.如何让恶意代码自行安装？

先静态分析
1） Peid 查看导入导出函数，进行分析
操作：首先查看导出函数：可以发现安装和卸载的函数，Install，installA 和uninstallA

导入函数表格：主要功能有创建进程、获取路径、读取文件、创建线程、修改和创建注册表、创建服务、连网发送请求和进行连接等

2) String查看可疑字符串，发现可疑的网址“practicalmalwareanalysis.com” 和一些可疑的路径和执行命令。

3）执行程序：
由于dll程序不能直接运行，需要被exe调用，也就是说它会附着到计算机的某个程序中，但是我们并不知道是哪个程序。因此我们需要在执行前打开ProcessExplorer (PE) 进行监控。
      i) Rundll32 执行dll中的导出install函数进行运行：

    ii) 在PE中找到依附的主程序是svhost.exe

2.程序无法在Win32下动态执行，接下来应该根据Regshot, PM (Process Monitor) 和PE (Process Explorer) 中的详细信息进行分析，会发现:

• 1）刚刚Srings中分析的路径是注册表的值，
• 2） 会创建一个IPRIP服务
• 3） 被恶意程序添加到开机启动项中；
• 4） 利用 PM 和 PE 以及 wireshark 抓包分析 IPRIP 服务：先打开监控软件，然后用 net start IPRIP

Labs-03-3实验

目标程序无法在 Win7 系统下运行

Labs-03-4实验

1.运行这个程序时会发生什么？
   程序会自动删除
静态分析：
1） 查壳：无壳，C++编写

2） 查看导入函数：

• a. 会读写复制文件、创建删除文件、获取路径、创建进程等；
• b. 创建删除服务、打开服务、创建、修改和删除注册表；
• c. Shell后门
• d. 连网操作

3） Strings分析：

• a. 会发送网络数据包
• b. 连网进行上传和下载文件
• c. 还会执行系统命令
• d. 连接的网址可能是http://www.practicalmalwareanalysis.com

2. 什么原因导致动态分析无法有效实施？
    程序的运行可能需要参数或者是缺少其他必要的文件
1） 先打开 PM 进行监控（利用filter筛选指定程序名称），然后执行程序：

2） 查看进程树，发现的确会执行cmd命令，cmd命令的内容就是删除程序本身。

3.是否有其他方式分析此程序？
   需要通过 逆向分析 的手段去查找。