《恶意代码分析实战》lab1-3

问题

1.将Lab01-03.exe文件上传至http://www.VirusTotal.com/进行分析并查看报告。文件匹配到了已有

的反病毒软件特征吗?

答：我上传了微步云沙箱，大部分软件都检测出来是木马程序

2.是否有这个文件被加壳或混淆的任何迹象?如果是这样，这些迹象是什么?如果该文件被加壳，

请进行脱壳，如果可能的话。

答：有加壳，PEID和沙箱都有检测出。同时，其程序大小特别小只有5kb，字符串等检验工具都无法扫描出信息。

fsg1.0，也是比较基础的加壳，可以使用手动脱壳。

但还没学习，之后尝试一下。在网上找到了集成脱壳工具，覆盖的面还是挺广的。 全能脱壳机（linxerUnpacker）绿色中文 - 脱壳工具 - ARP绿色软件联盟 (arpun.com)​​​​​​

脱壳成功

3.有没有任何导入函数能够暗示出这个程序的功能?如果是，是哪些导入函数，它们会告诉你什

么?

答：我没有从程序的导入函数中分析出恶意代码的功能是什么。但在沙箱的动态调试，抓包中发现其访问了许多域名，且一些域名在国外。

4.有哪些基于主机或基于网络的迹象，可以被用来确定被这个恶意代码所感染的机器?

可以查看，计算机，时候有访问境外以及其他奇怪域名的流量行为。

答案也比较简洁