这篇博客详细记录了一次Ransomware的逆向分析过程，首先通过Exeinfope检测到UPX壳并进行脱壳，然后在IDA中发现并NOP掉花指令。在修复函数调用和堆栈平衡后，分析了程序调用，发现空函数sub_401000。通过对比加密和正常EXE文件的PE结构，找出加密Key，用Python脚本获取Key值"letsplaychess"，最终解密得到原始文件origin.exe。解密后，可能需要解决缺失的DLL问题。
Exeinfope查到有UPX壳
先使用脱壳机进行脱壳
脱壳后载入IDA 发现直接显示太大无法展示
空格转为文本视图 可以很明显知道 下面红框中的就是一段段花指令
查看最后结束的位置 就在0x0044A775
直接IDC脚本将他们都NOP掉
auto i,start = 0x004135E9,end = 0x0044A775;
for(i=start;i<end;i++){
PatchByte(i,0x90);}
Message("\n" + "OK\n");
接着可以发现函数sub_401000也有一段花指令
依然是找到起始和末尾地址 IDC脚
545
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
最低0.47元/天 解锁文章
扫一扫
