Tài liệu hạn chế xem trước, để xem đầy đủ mời bạn chọn Tải xuống
1
/ 16 trang
THÔNG TIN TÀI LIỆU
Thông tin cơ bản
Định dạng
Số trang
16
Dung lượng
3,52 MB
Nội dung
Phân tích mẫu virus lây file cụ thể Win32/Expiro Phân tích mẫu virus lây file cụ thể Win32/Expiro – P1 !" #$%&$'())*+', - Chuẩn bị môi trường 1. ./0'$1+2(+34567-8$9'7:+!.;-<=(+> '$1+?@7:+A'B"+CD' EF$:%GE+:)C- 2. H $$ '9 I (J * + D'! - K '(- K LM;5NH- K O+ (PP- 3. .$ '9#OQR'J1:+ H G+- 4. .C5+ 8+* +(S$&AA-TA> +(S >I(J5+ 8++B EJU V- 5. .$&A( ( ' !LHWXYHN5+ Giai đoạn theo dõi Z>+'$1+?>V$EJ*(D( FC['E\C>-.C5+ 8+?C', >>])F$A^ 5+ 8+ + ',_C`267-;K+- K a^ +`b F'[2 ^ a- @QA267-;K+c +'J%$ '9H G+[- +[+)(R$ '9QH G+* ( ?- M[G])[ +>])'B"E) ! 1. MC$',c0(+C_$[-bE C',- K `Z*dBK$>', &e'C+]"$+f$',aI(J ',*JJF$A( +-8JV) I(J - K 0D'*JJF$A( (+! o .c?>VE ">!G[ $0$\+5;g o HD(+$]G$)f *"B( ?& 2. hCC$+'$1+[GC',? +',_#`- K a+'E\- 3. +C +(Sc#', #'B>OV?*JJ+F$A (D(?&- 5', J*267i;K+j57 Giai đoạn phân tích UI(J<+(5;K 'Kk]G$)f - K [ G!M:G[ :'B"B ! N(( ;5+ ' LlU + Um LlY' Um LlUGn Um Llo n 8p+Y' T +8 +Y' T +W+(Y'+g T)+$$\*A']:[G_ ( ?&- qQBLHWXYHN5+])+(&A- K c Q[[-M[>A'#*'O G+"[ F'[$N5Y! ^(^^ `Nr2a ^( K^ `Nr2aL ^ n (^ . ^ 2 ^ <+N+g- .?$*(_CC$N5Y!ZO G+G&A ]).N<<H<<`M_LHWXsH s.N<<H<< K+a+O] )CF_)G*'$N5Y#+(! • ZO G+G&A]).N<<H<<O G+ GK1)+((!q;n;<67-H<<AH<<%N5Y*] ))@0'&"[0q 67-M +&AdGEI(J#- 1 +$%CF_)G*'N5Y #+( • .CF_)G*'N5Y#+(`M_LHWXs 5s.+''(< s.+''(< tut+O+I:+( VLHWXGB1s U l+s N '+( t7ta-o%d)G@1$N5Y#C + &AC\*')C-H+$N5Y#)"# 'E1J* +H<<PN5Y_(D(A' G'$N5Y'AF'*$ G+- • o I(J$"tutCI:)S!KP N5Y>A')G$N5Yc#+(! • o I(J$"*2t>K '($$ N5Yc#+(! UGc])CF_)`HRF8aG#[F$A G*'-U'B\ “to tay”[#$N5Y > `^(^^ N ^( K^ N L ^ <+N+ n (^ 2 ^ a! .O G+C@1$+C'cv[$N5Y' F'-bEF'[$!^(^^ N ^( K^ N. ^ n (^ 2 ^ <+N+A$N5Y? F][F$AA'I %?#I(J *])D'$ G$+)"! UGO G+K+CF9. <LHWX ]B]$)+[GO$ G++OG& AG-U'B\CLHWX(_CQ'^(^^ N `)\aH `.?*F_)^w+O^xa [##+C'cA''Jc,QH G+ + ?A'# !- K *D'- cK$0#+C'cy>A'G'$ *D'[ +D'J*+ (+??> 'Q -H+cO G+C''Q `. ^ a JC^x*&A[#+C'c-Wy> +C'c+Cy>])+ A >Gz*K 'I:fA *?*K(]'()- U G 'Q E @ G [ E F ' X ^ Um ?])@$'BR[`<+N+a*+( +B R[?_?I - [...]... trỏ tới mã thực thi của virus, thay đổi SizeOfHeapReserve, SizeOfStackReserve, MajorImageVersion, MinorImageVersion… Sau quá trình chỉnh sửa các trường trong file, virus tiến hành ghi nội dung file calc.exe đã được chỉnh sửa sang một file có tên: calc.ivr trong cùng thư mục, sau đó, nó thực hiện Copy đè nội dung của file calc.ivr lên file gốc và xóa bỏ file calc.ivr đi Quá trình lây nhiễm hoàn tất ... đổi trên file gốc trên vùng nhớ: • Thay đổi BoundImport để tăng thêm section • Thay đổi cờ cho vùng nhớ mới để biến nó thành vùng mã có thể thực thi • Tăng số section trong PE Header khi thêm mới 1 section Tiếp tục debug đoạn chương trình này, chúng ta thấy virus tiến hành thay đổi một số trường khác tương đối quan trọng khác • Thay đổi SizeOfImage theo kích thước VirtualSize của section virus vừa... là mẫu virus tương đối đơn giản nên chúng ta chỉ cần IDA để xem thông tin sơ bộ trong hàm, không cần đi sâu hơn ở mức đồng bộ giữa việc chạy chương trình trên OllyDBG và IDA để tìm hiểu chi tiết từng đoạn mã Từ đoạn này, tôi tiến hành theo dõi vùng nhớ mà chương trình được nạp lên, mã virus bắt đầu thực hiện việc đọc PE header và thay đổi các tham số Trước tiên nó đọc một số trường trong PE Header Virus . Phân tích mẫu virus lây file cụ thể Win32/Expiro Phân tích mẫu virus lây file cụ thể Win32/Expiro – P1 . +(Sc#', #'B>OV?*JJ+F$A (D(?&- 5', J*267i;K+j57 Giai đoạn phân tích UI(J<+(5;K 'Kk]G$)f - K [ G!M:G[