恶意代码分析小技巧-COM接口分析

恶意代码分析小技巧-COM接口分析

在恶意代码分析中常遇到COM接口相关函数，如下图所示，相关com接口得代码都是指针偏移方式调用，根本不知道调用了哪些函数

还原后得代码如图2所示，代码逻辑清晰明了，便于后续分析：

操作方式

1.找到函数 CoCreateInstance 查看rclsid和riid


2.将数据进行格式化，还原为rclsid的原始模样，可以使用IDA-python脚本进行还原，还原后可得如下信息
rclsid:{00021401-0000-0000-C000-000000000046}
riid:{000214F9-0000-0000-C000-000000000046}

def format_com_data(ea):
    guid = "{%08X-%04X-%04X-%02X%02X-%02X%02X%02X%02X%02X%02X}"
    dword = idc.get_wide_dword(ea)
    word1 = idc.get_wide_word(ea + 4)
    word2 = idc.get_wide_word(ea + 6)
    byte1 = idc.get_wide_byte(ea + 8)
    byte2 = idc.get_wide_byte(ea + 9)
    byte3 = idc.get_wide_byte(ea + 10)
    byte4 = idc.get_wide_byte(ea + 11)
    byte5 = idc.get_wide_byte(ea + 12)
    byte6 = idc.get_wide_byte(ea + 13)
    byte7 = idc.get_wide_byte(ea + 14)
    byte8 = idc.get_wide_byte(ea + 15)

    guid_str = guid % (dword, word1, word2, byte1, byte2, byte3, byte4, byte5, byte6, byte7, byte8)
    print(guid_str)

3.借助工具OLEVIEW.NET进行CLSID查询，首先查询rclsid

4.在rclsid查询到的信息中查找riid = {000214F9-0000-0000-C000-000000000046} 的接口，查询发现该接口名称为IShellLinkW

5.将IDA中 CoCreateInstance 参数ppv的参数类型修改为 IShellLinkW*，修改完成之后相关函数被识别，但是函数中存在QueryInterFace函数查询接口，可以根据上述方式获取到riid = {0000010B-0000-0000-C000-000000000046}，继续查询发现接口名称为 IPersistFile ，同样，直接修改类型即可识别出所有函数