吾爱破解 - LCG - LSG |安卓破解|病毒分析|破解软件|青海快3规律 www.yvi63.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 13585|回复: 121
上一主题 下一主题

青海快三开奖结果: [PC样本分析] 一个窃密木马的简单分析

  [复制链接]
跳转到指定楼层
楼主
发表于 2018-5-28 14:48 | 只看该作者 回帖奖励 |倒序浏览
使用论坛附件上传样本压缩包时必须使用压缩密码?;?,压缩密码:52pojie,否则会导致论坛被杀毒软件等误报,论坛有权随时删除相关附件和帖子!
本帖最后由 mortalboold 于 2018-5-28 14:52 编辑

一、   样本信息
1.     样本类型:窃密
2.     样本大?。?40kb

. 二、   简介
该样本是针对windows系统盗取ftp,浏览器,邮箱账号密码的窃密木马
三、   详细分析/功能介绍原始文件:
该样本采用vb编写,但vb其实是一个loder用于解密加载真正的恶意???。分析如下:
运行后首先创建一个挂起状态的傀儡进程

                              
使用ZwWriteVirtualMemory将恶意代码写入到刚创建的傀儡进程中,之后交由傀儡程序执行恶意代码


写入的恶意代码为一个Pe文件


该??榫治鋈范ㄎ猣窃密木马,会尝试窃取浏览器/FTP/邮箱账户密码,下载执行exe文件,具体分析如下:

Api获?。?/strong>
样本的api函数通过调用sub_4031e5函数获取,交叉引用可见有两百余处引用,动态一个个调试效率太慢,所以使用IDA+od脚本将api函数注释出来。


可以通过ida脚本将每次解密的参数找出,之后使用od脚本push 这些参数,call 4031e5获取api。再通过ida脚本将api注释到ida中。
Ida python查询参数脚本如下:


Od部分脚本:


Ida注释脚本:


脚本运行成功后,可见所有的api全部注释与ida中,增快了静态分析的效率


功能行为
运行后,首先通过获取guid创建互斥,保证只有一个实例运行。



之后开始从FTP,浏览器,邮箱窃取账号信息:
Chromium:
Chromium家族的浏览器将登录信息存储在名为“LoginData”或“Web Data”的文件中,样本通过硬编码路径,通过字符串”password_value”,“username_value”“original_url”获取这些文件中的账户信息:





Chromium家族的浏览器包括ComodoDragon,MapleStudio,Chrome,Nichrome,RockMelt,Spark,Chromium,Titan,Torche,Yandex,Epi,CocCoc,Vivaldi,Comodo Chromodo,Superbird ,Coowon,Mustang,360, CatalinaGroup Citrio,Chrome SxS,Orbitum,Iridium,Opera


firefox:
firefox家族将账户信息保存在signons.sqlite,logins.json,prefs.js中,样本通过读取这些文件获得账户信息:

Firefox家族浏览器包括Firefox,IceDragon,Safari,K-Melon,SeaMonkey,Flok,Thunderbird,BlackHawk,Postbox,Cyberfox,Pale ,Moon,waterfox, Lunascape.



ftp:
通过读取ftp软件的ini\ xml\dat文件获取用户账户信息:




ftp包括TPBox/NppFTP/EasyFTP/Sftp/xftp/StaffFTP/BlazeFtp/DeluxeFTP等






邮箱:
通过读取邮箱的特定文件获取用户用户信息:


邮箱包括outlook/FossaMail/Postbox/Foxmail等





其他软件:
获取包括Automize\fullsync\ExpanDrive\PuTTY等工具用户信息:



上传获取的账户信息

将获取的计算机用户名,用户信息,屏幕大小以及获取到的各种软件账户信息发送到operco****/******/fre.php



拷贝自身到%appdata%下,并设置文件属性为隐藏,删除自身


尝试从服务器获取下载链接。下载其他可执行文件执行








免费评分

参与人数 55吾爱币 +55 热心值 +50 收起 理由
L先生 + 1 + 1 用心讨论,共获提升!
浅陌夏秋丶 + 1 + 1 我很赞同!
xiao_tang + 1 + 1 我很赞同!
xuan + 1 + 1 我很赞同!
biubiufish + 1 + 1 热心回复!
fengbao + 1 + 1 热心回复!
snccwt + 1 + 1 谢谢@Thanks!
布丁猫 + 1 + 1 用心讨论,共获提升!
Azure_atk + 1 + 1 谢谢@Thanks!
icezyf + 1 热心回复!
zlp_009 + 1 + 1 热心回复!
cjdzkj + 1 + 1 用心讨论,共获提升!
zhristtt + 1 + 1 已经处理,感谢您对吾爱破解论坛的支持!
97本科僧 + 1 + 1 我很赞同!
玉米 + 1 + 1 用心讨论,共获提升!
Sacred丶迷恋 + 1 + 1 我很赞同!
268296 + 1 + 1 我很赞同!
6711982 + 1 + 1 探讨裙:6711982
zhpt + 1 + 1 我很赞同!
diditang + 1 + 1 谢谢@Thanks!
heroabo + 1 + 1 大神,膜拜!
YCAPTAIN + 1 + 1 用心讨论,共获提升!
zqm44ff + 1 + 1 用心讨论,共获提升!
太疯癫 + 1 热心回复!
jnez112358 + 1 + 1 谢谢@Thanks!
一颗赛艇 + 1 + 1 用心讨论,共获提升!
MaxMadcc + 1 谢谢@Thanks!
落寞的回忆 + 1 + 1 热心回复!
siuhoapdou + 1 + 1 热心回复!
silvanevil + 1 + 1 谢谢@Thanks!
哈小屈 + 1 + 1 厉害厉害?。?!向大佬学习!
Cherishao + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
soyiC + 1 + 1 热心回复!
wxr5938 + 1 + 1 帖子写得很好,可是我看不懂,但也要给加分
阿尔卡伊达 + 1 + 1 热心回复!
ask1000 + 1 + 1 谢谢@Thanks!
lookerJ + 1 + 1 谢谢@Thanks!
老张有大梦想 + 1 + 1 表示,我是路过的,谢谢大神分析
SomnusXZY + 1 热心回复!
半凉未凉 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
palmer680 + 1 + 1 我很赞同!
粉藍弟 + 1 + 1 用心讨论,共获提升!
huangyiyi + 1 + 1 谢谢@Thanks!
quk29 + 1 + 1 用心讨论,共获提升!
hjm666 + 1 + 1 用心讨论,共获提升!
tztt3033 + 1 + 1 用心讨论,共获提升!
晓我琴宝贝 + 1 + 1 膜拜
kelenight + 1 我很赞同!
疯魔虚无 + 1 + 1 热心回复!
goodeveing + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
einc + 1 用心讨论,共获提升!
lou121505 + 2 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
a1142099496 + 2 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
钢铁不败 + 1 + 1 热心回复!
HEHE139 + 1 + 1 热心回复!

查看全部评分

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

推荐
 楼主| 发表于 2018-5-30 15:21 | 只看该作者 |楼主
hjm666 发表于 2018-5-29 21:13
学病毒分析除了逆向知识,还要学习什么??? 病毒分析要怎么下手啊楼主?

熟悉下常用的API,或者看哈论坛其他人有样本的,照着分析下,多分析有经验就好了,可以 看看恶意代码分析实战那本书

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

推荐
 楼主| 发表于 2018-5-29 17:41 | 只看该作者 |楼主
Hmily 发表于 2018-5-29 17:36
加个精华鼓励一下,ida脚本跑iat再导入OD那是亮点啊,看起来清晰多了,期待补充完整样本行为,比如下载那块 ...

谢谢H大,这是很久以前写的报告了,样本找不到了

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

板凳
发表于 2018-5-28 15:43 | 只看该作者

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

报纸
发表于 2018-5-28 15:59 | 只看该作者
好文  学习了

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

地板
发表于 2018-5-28 16:42 | 只看该作者
看不懂??!支持就好了!

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

7#
发表于 2018-5-28 17:22 | 只看该作者
看不懂。。膜拜大佬

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

8#
发表于 2018-5-28 17:48 | 只看该作者
支持一下啦。

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

9#
发表于 2018-5-28 17:58 | 只看该作者
66666大佬

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

10#
发表于 2018-5-28 19:43 | 只看该作者
感谢楼主分享

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

11#
发表于 2018-5-29 14:22 | 只看该作者
先回复再分析。

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

12#
发表于 2018-5-29 17:26 | 只看该作者
很牛逼啊??上Э床欢?,崇拜大神

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】;

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则


免责声明:
吾爱破解所发布的一切破解补丁、注册机和注册信息及软件的解密分析文章仅限用于学习和研究目的;不得将上述内容用于商业或者非法用途,否则,一切后果请用户自负。本站信息来自网络,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑中彻底删除上述内容。如果您喜欢该程序,请支持正版软件,购买注册,得到更好的正版服务。如有侵权请邮件与我们联系处理。

Mail To:[email protected]

快速回复 收藏帖子 返回列表 搜索

RSS订阅|手机版|小黑屋|联系我们|青海快3规律 ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2018-7-12 00:47

Powered by Discuz!

© 2001-2017 Comsenz Inc.

快速回复 青海快3规律 返回列表
  • [大笑]阿Q都是这么说的。。。。。。 2018-08-15
  • 意料之中。美国若逼中国汇率升值,它自己会变成世界老二,所以只能直接动商品 2018-07-14
  • 肉毒梭菌感染相关新闻 2018-07-14
  • 马克思主义通过指导无产阶级革命建立起部分社会财富公有制而改变了人类历史发展进程,离开部分社会财富公有制的建立来谈“改变人类历史发展进程”纯粹是无稽之谈。 2018-07-13
  • 为迎香港回归,他用99天徒步走完京九线 2018-07-13
  • 别做梦了,醒醒吧。一个国家强大,教育是重要的。没有你说的那样美国妒忌心态。美国害怕的是中国不改革不开放,因为中国一旦做自己的企业,走自己的道路,对美国来说意味美 2018-07-12
  • 中国红旗9导弹相关新闻 2018-07-12
  • 写字楼起火 员工为保客户资料抱电脑主机逃下11楼 2018-07-11
  • 纪检监察机关加强扶贫领域监督执纪问责工作 2018-07-11
  • “十三五”规划出炉 古镇展望后五年发展蓝图 2018-07-11
  • 吃凉菜才是夏天的正经事 2018-07-10
  • 人民日报:中国经济稳步迈向高质量 2018-07-10
  • “亚洲第一海军”的蒙古国海军司令要管多少事儿?仨船俩炮六个兵 2018-07-10
  • 全新传祺GS4上市 祺云概念智慧SUV 2018-07-09
  • 暖心!高铁列车为他停靠三分钟 这一次没有人反对 2018-07-09