array(2) { ["docs"]=> array(10) { [0]=> array(10) { ["id"]=> string(3) "428" ["text"]=> string(77) "Visual Studio 2017 单独启动MSDN帮助（Microsoft Help Viewer）的方法" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(8) "DonetRen" ["tagsname"]=> string(55) "Visual Studio 2017|MSDN帮助|C#程序|.NET|Help Viewer" ["tagsid"]=> string(23) "[401,402,403,"300",404]" ["catesname"]=> string(0) "" ["catesid"]=> string(2) "[]" ["createtime"]=> string(10) "1511400964" ["_id"]=> string(3) "428" } [1]=> array(10) { ["id"]=> string(3) "427" ["text"]=> string(42) "npm -v；报错 cannot find module "wrapp"" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(4) "zzty" ["tagsname"]=> string(50) "node.js|npm|cannot find module "wrapp“|node" ["tagsid"]=> string(19) "[398,"239",399,400]" ["catesname"]=> string(0) "" ["catesid"]=> string(2) "[]" ["createtime"]=> string(10) "1511400760" ["_id"]=> string(3) "427" } [2]=> array(10) { ["id"]=> string(3) "426" ["text"]=> string(54) "说说css中pt、px、em、rem都扮演了什么角色" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(12) "zhengqiaoyin" ["tagsname"]=> string(0) "" ["tagsid"]=> string(2) "[]" ["catesname"]=> string(0) "" ["catesid"]=> string(2) "[]" ["createtime"]=> string(10) "1511400640" ["_id"]=> string(3) "426" } [3]=> array(10) { ["id"]=> string(3) "425" ["text"]=> string(83) "深入学习JS执行--创建执行上下文（变量对象，作用域链，this）" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(7) "Ry-yuan" ["tagsname"]=> string(33) "Javascript|Javascript执行过程" ["tagsid"]=> string(13) "["169","191"]" ["catesname"]=> string(0) "" ["catesid"]=> string(2) "[]" ["createtime"]=> string(10) "1511399901" ["_id"]=> string(3) "425" } [4]=> array(10) { ["id"]=> string(3) "424" ["text"]=> string(30) "C# 排序技术研究与对比" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(9) "vveiliang" ["tagsname"]=> string(0) "" ["tagsid"]=> string(2) "[]" ["catesname"]=> string(8) ".Net Dev" ["catesid"]=> string(5) "[199]" ["createtime"]=> string(10) "1511399150" ["_id"]=> string(3) "424" } [5]=> array(10) { ["id"]=> string(3) "423" ["text"]=> string(72) "【算法】小白的算法笔记：快速排序算法的编码和优化" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(9) "penghuwan" ["tagsname"]=> string(6) "算法" ["tagsid"]=> string(7) "["344"]" ["catesname"]=> string(0) "" ["catesid"]=> string(2) "[]" ["createtime"]=> string(10) "1511398109" ["_id"]=> string(3) "423" } [6]=> array(10) { ["id"]=> string(3) "422" ["text"]=> string(64) "JavaScript数据可视化编程学习（二）Flotr2，雷达图" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(7) "chengxs" ["tagsname"]=> string(28) "数据可视化|前端学习" ["tagsid"]=> string(9) "[396,397]" ["catesname"]=> string(18) "前端基本知识" ["catesid"]=> string(5) "[198]" ["createtime"]=> string(10) "1511397800" ["_id"]=> string(3) "422" } [7]=> array(10) { ["id"]=> string(3) "421" ["text"]=> string(36) "C#表达式目录树（Expression）" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(4) "wwym" ["tagsname"]=> string(0) "" ["tagsid"]=> string(2) "[]" ["catesname"]=> string(4) ".NET" ["catesid"]=> string(7) "["119"]" ["createtime"]=> string(10) "1511397474" ["_id"]=> string(3) "421" } [8]=> array(10) { ["id"]=> string(3) "420" ["text"]=> string(47) "数据结构 队列_队列实例：事件处理" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(7) "idreamo" ["tagsname"]=> string(40) "C语言|数据结构|队列|事件处理" ["tagsid"]=> string(23) "["246","247","248",395]" ["catesname"]=> string(12) "数据结构" ["catesid"]=> string(7) "["133"]" ["createtime"]=> string(10) "1511397279" ["_id"]=> string(3) "420" } [9]=> array(10) { ["id"]=> string(3) "419" ["text"]=> string(47) "久等了,博客园官方Android客户端发布" ["intro"]=> string(288) "目录 ECharts 异步加载 ECharts 数据可视化在过去几年中取得了巨大进展。开发人员对可视化产品的期望不再是简单的图表创建工具，而是在交互、性能、数据处理等方面有更高的要求。 chart.setOption({ color: [ " ["username"]=> string(3) "cmt" ["tagsname"]=> string(0) "" ["tagsid"]=> string(2) "[]" ["catesname"]=> string(0) "" ["catesid"]=> string(2) "[]" ["createtime"]=> string(10) "1511396549" ["_id"]=> string(3) "419" } } ["count"]=> int(200) } 222 恶意代码分析_Lab03-03_动态分析 - 爱码网

恶意代码分析_Lab03-03_动态分析

Lab03-03

问题及分析：

问题1

当你使用Process explorer工具进行监视时，你注意到了什么？

使用PEiD查看发现未加壳

恶意代码分析_Lab03-03_动态分析

使用Dependency Walker查看，结果如下：
恶意代码分析_Lab03-03_动态分析
恶意代码分析_Lab03-03_动态分析

导入函数中：

CreateFileA：可以创建文件

CreateHandle：创建进程

FindSource: 查找资源

FreeEnvironmentStrings:释放环境字符串

Sleep：隐藏自己

还有大量对文件字符的操作

所以估计这个恶意程序应该是对内存里文件做出恶意修改或者删除

下面运行该程序，并用用Process Explorer工具进行监视：

恶意代码分析_Lab03-03_动态分析

运行很多次之后会发现，Lab03-03.exe会启动svchost.exe，每点一次启动一个svchost.exe

然后仔细观察（把系统cpu和内存调小点，这样运行起来就会慢一点）

会发现Lab03-03.exe创建了一个svchost.exe

然后Lab03-03.exe退出，只留下svchost.exe

我的猜想是恶意代码执行了对svchost.exe文件的替换

问题2

你可以找出任何的内存修改行为吗？

我们用Process Explorer点中那个单独出来的svchost.exe

然后在Image和Memory单选按钮之间切换
恶意代码分析_Lab03-03_动态分析
恶意代码分析_Lab03-03_动态分析

会发现这两个明显不一样

然后把Memory中的字符串往下拖会发现

恶意代码分析_Lab03-03_动态分析

因为practicalmalwareanalysis.log的字符串，还有就是[ENTER]和[SHIFT]

这都是不会在正常的svchost.exe出现的Image

正常的svchost.exe里的Image和Mermory都是相同的。

然后出现了[ENTER]和[CAPS LOCK]这些字符串，这个很可能是个击键记录器

我们随便打开虚拟机界面开一个文本乱敲一下看

然后根据PID来在procmon中创建一个过滤器
恶意代码分析_Lab03-03_动态分析

我们就可以发现这个程序一直在不断的CreateFile和WriteFile

恶意代码分析_Lab03-03_动态分析
然后我们找到这个log文件，其实就在可执行程序的同一个目录下

恶意代码分析_Lab03-03_动态分析
恶意代码分析_Lab03-03_动态分析

test.txt是我为了测试新建的,然后打开这个log文件，就可以看到记录下来的信息了

恶意代码分析_Lab03-03_动态分析
注意文中出现的[ENTER],记录了键盘输入的信息，还有该主机打开文件的记录等

问题3

这个恶意代码在主机上的感染迹象特征是什么？

根据上面的分析，迹象就是创建了一个praticalmalwareanalysis.log文件
恶意代码分析_Lab03-03_动态分析

问题4

这个恶意代码的目的是什么？

通过上面的分析，和上传到VirusTotal网站的信息来推测，该恶意程序可能是一个键盘记录器

关键提示和要求：

1、静态分析，从导入函数中估计恶意程序的功能；

2、启动Process Explorer和procmon工具；注意procmon关闭事件捕获功能；

3、运行Lab03-03.exe时，注意ProcessExplorer状态变化。

4、在ProcessExplorer中，svchost.exe是否是一个孤儿进程？
选择svchost.exe，两次右键点击Properties，出现两个属性窗口，均选择Strings页面。该页面的左下角为Image和Memory两个选项。一个Strings页面选择Image（磁盘镜像），另一个Strings页面选择Memory（内存镜像）；比较两个镜像的不同嗲，注意内存镜像中出现“practicalmalwareanalysis.log”的字样，请问这说明了什么？另外，[ENTER]和[CAPS LOCK]字符串说明程序很可能是击键记录器。

5、配置Procmon，过滤出svchost进程的PID；
打开事件监控；
打开记事本，录入一些信息；
关闭事件监控；
分析捕获的关于svchost进程的信息；

6、打开practicalmalwareanalysis.log；确认该恶意程序的用途。

引用

《 Practical Malware Analysis 》 By Michael Sikorski, Andrew Honig · 2012
以及网上前辈的一些作品，由于查阅过多过细，这里就不一一例举。

相关文章：

猜你喜欢
相关资源
相似解决方案
热门标签
Java Python linux javascript Mysql C# Docker 算法 前端 SpringBoot Redis Vue spring 设计模式 .net core .net kubernetes c++ 数据库 数据结构 大数据 js 机器学习 微服务 Android Go 程序员 面试 JVM ASP.net core 云原生 人工智能 后端 PHP git CSS golang k8s Nginx Django mybatis 深度学习 多线程 React 架构 devops 爬虫 云计算 Spring Boot LeetCode