其他分享
首页 > 其他分享> > Go语言恶意样本分析

Go语言恶意样本分析

作者：互联网

样本信息

样本MD56BC5F53D4082F12DD83ACA45BAE81E64
样本编译语言go语言

样本行为分析

通过对样本运行的动态行为进行分析，样本主要行为如下：

  1. 创建进程获取系统信息
  2. 系统信息上传C2
  3. 获取C2下发指令以及回传的文件
  4. 执行C2回传的文件

样本静态分析

分析go语言的样本，与一般C\C++编写的PE文件有很大不同，在分析go语言编写的样本的时候，反编译会识别大量函数。这其中有大部分的库函数，因此分析go语言的恶意样本需要先找到函数入口点。main_main，IDA这一点很强，IDA7.6版本已经支持go语言的识别。因此用IDA7.6版本反编译go语言样本也没有识别库函数的苦恼。

样本逻辑分析

样本主要逻辑如下：
在这里插入图片描述
样本在执行的时候会获取文件名，判断文件名中是否存在括号"()",如果存在继续执行之后的恶意逻辑。

获取系统信息

样本通过CMD创建相应进程获取进程信息：systeminfo、tasklist
在这里插入图片描述
创建WMI进程获取系统磁盘的一系列信息
在这里插入图片描述
获取本地计算机时间按格式输出
在这里插入图片描述

使用github开源工具获取屏幕截图

在这里插入图片描述
将获取的截图数据格式化处理
在这里插入图片描述
将以上获取到的所有数据进行拼接，为数据上传做准备
在这里插入图片描述
数据上传
在这里插入图片描述
通过获取C2回传的数据，执行后续恶意操作：
在这里插入图片描述
创建恶意文件
在这里插入图片描述
恶意文件路径获取
在这里插入图片描述
由于获取不到目标文件以及后续的C2指令，分析告一段落。
样本运行进程树：
在这里插入图片描述
样本网络连接创建目标文件：
在这里插入图片描述

IOC

样本MD56BC5F53D4082F12DD83ACA45BAE81E64
C2http://89.37.226.148/
download文件名w32srv.exe

标签：分析,样本,恶意,获取,go,Go,C2
来源： https://blog.csdn.net/sxr__nc/article/details/122741099