其他分享
首页 > 其他分享> > 病毒分析①熊猫烧香分析

病毒分析①熊猫烧香分析

作者：互联网

1. 情报收集

1.0 哈希值

1.1 查壳

delphi写的程序，使用了FSG2.0壳

1.2 导入表

样本在脱壳之前跑不起来，脱壳之后，查看导入表

1.2 监控软件

1.2.1上传网站
运行病毒之后，本机开启火绒剑会被强制退出，将样本上传微步在线查看：
1.2.2 监控软件行为
使用Process Monitor监控软件查看进程树，启动了很多个命令行程序，并传入命令行参数
cmd.exe /c net share C$ /del /y
	命令行模式下删除C盘的网络共享，执行完后关闭cmd.exe。
cmd.exe /c net share admin$ /del /y
	取消系统根目录的共享
查看进程事件，发现创建了很多文件，写入文件的操作特别多，还有一些网络行为查看注册表操作：网络监控：

1.3 查看本机变化

程序图标被篡改，双击程序不能正常运行

2. 分析程序

使用IDA，OD静态动态结合分析，发现病毒的主函数一共有3个：

2.1准备工作

:try1
"del "C:\Program Files\010 Editor\010Editor.exe"                                 //删除文件
if exist "C:\Program Files\010 Editor\010Editor.exe" goto try1             //判断文件是否存在
ren "C:\ProgramFiles\010 Editor\010Editor.exe.exe" "010Editor.exe"   //修改文件名
if exist "C:\Program Files\010 Editor\010Editor.exe.exe" goto try2       //判断文件是否存在
"C:\Program Files\010 Editor\010Editor.exe"                                         //运行没有感染的程序
:try2
del %0

2.2 感染文件

WriteLString__写入文件函数：此时的原文件已经被感染成病毒F8步过之后，将会把内存中的原PE文件写入到被感染的程序中

2.3 保护工作

3. 应对措施

3.0 预防措施

3.1 手动查杀

3.2 编写专杀工具

测试路径：运行截图：修复后的效果：
//在数组中寻找指定的字节位置
int rfindStrInBuff(char* buffBase, int buffSize,const char* str) {
    for (size_t i = buffSize; i > 0 ; i--)
    {
        char* findBuff = buffBase + i;
        if (!memcmp(findBuff, str, strlen(str)+1)) {
            return buffBase+i;
        }
    }
    return 0;
}









来自为知笔记(Wiz)

附件列表

 

标签：分析,文件,exe,程序,感染,烧香,熊猫,2.1,病毒程序
来源： https://www.cnblogs.com/sanyimitian/p/14219459.html