程序员经验分享-hwhale

恶意代码分析实战——Lab03-01.exe基础动态分析篇

2023-11-16

恶意代码分析实战——Lab03-01.exe基础动态分析篇

1.实验目的

综合运用各种分析工具，分析Lab03-01.exe的基本信息，并推测其功能。

2.实验环境（硬件、软件）

VMware虚拟机（winxp）：
硬件：处理器Intel® Core™ i5-10210U CPU @ 1.60GHz 2.11 GHz
软件：32位操作系统
kali虚拟机

3.实验步骤（详细描述操作过程，关键分析需要附截图）

（1）静态分析

①MD5值

在这里插入图片描述

②peid分析

在这里插入图片描述

可以看到Lab03-01.exe已被加壳处理

③strings分析
strings Lab03-01.exe

在这里插入图片描述

在这里插入图片描述

发现一些注册表信息和一个exe文件以及一个可以的域名
猜测分析可能会通过连接访问该网址下载某些木马文件或者通过vmx32to64.exe下载打开某些后门，，所以在动态分析中重点关注注册表修改信息和文件的增加删除以及联网操作

（2）动态分析

①regshot注册表分析

Regshot拍摄第一次快照后运行Lab03-01.exe
在这里插入图片描述
运行Lab03-01.exe后记录第二次快照
在这里插入图片描述
点击compare将两次注册表信息对比后发现新增注册表键值
在这里插入图片描述

发现在自启动项VideoDriver中增加了键值43 3A 5C 57 49 4E 44 4F 57 53 5C 73 79 73 74 65 6D 33 32 5C 76 6D 78 33 32 74 6F 36 34 2E 65 78 65，将它换成字符为C:\WINDOWS\system32\vmx32to64.exe，说明VideoDriver自启动项就是指向system32目录下的vmx32to64.exe

②process explorer分析

打开explorer的下端窗口查看DLLs动态链接库

在这里插入图片描述
运行Lab03-01.exe后发现
在这里插入图片描述

在Lab03-01.exe中存在ws2_32.dll和wshtcpip.dll所以说明存在网络方面的操作

③process monitor分析

进入Filter窗口添加筛选条件
在这里插入图片描述
在这里插入图片描述
由于在之前静态分析时猜测该程序会下载vmx32to64.exe文件，顾在运行Lab03-01.exe后可以ctrl+F直接搜索vmx32to64.exe后
在这里插入图片描述

发现在windows\system32路径下创建写入来vmx32to64.exe文件并且在在currentversion\run下创建了VideoDriver自启动项键值
来到windows\system32目录下查看vmx32to64文件

在这里插入图片描述
在这里插入图片描述

查看它的MD5值发现它同Lab03-01.exe一样，所以得出结论Lab03-01.exe将自己复制到windows\system32目录下，而在上面的注册表分析中VideoDriver自启动项键值指向了windows\system32路径下的vmx32to64.exe

④ApateDNS网络访问分析

在这里插入图片描述
发现它访问了www.practicalmalwareanalysis.com这个网址
ApateDNS虚拟网络配置可参考文章《恶意代码分析实战——使用Apatedns和Inetsim模拟网络环境》

4.实验结论

Lab03-01.exe的功能将自己复制到system32目录下，并开机自启动
且Lab03-01.exe运行使访问www.practicalmalwareanalysis.com网址

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

逆向

安全

恶意代码分析实战——Lab03-01.exe基础动态分析篇 的相关文章

  • 聊聊数据库中的 savepoint

    从全局二级索引讲起 故事要从全局二级索引开始讲起 当我们构建了一个全局二级索引之后 一条逻辑上的数据插入 就会变成两条物理上的数据插入 一条插入到主表 另一条插入到索引表 为了保证主表和索引表数据的一致性 我们往往需要开启分布式事务 再并行

  • keil5 Device Database 灰色问题

    使用 keil5 安装 GD 软件包后打开工程依然无法搜索到对应的芯片型号 GD32F450 The Project references device files or libraries that are not installed D

  • 一个类的实例是另一个类的属性python_Python 的类其实是一个特殊的对象

    Python 中的类是一个特殊的对象 Python 中一切皆对象 class AAA 定义的类属于类对象 obj1 AAA 属于实例对象 在程序运行时 类同样会被加载到内存 类是一个特殊的对象 类对象 类对象在内存中只有一份 使用一个类可以

  • 60-200-072-使用-命令-MySQL使用mysqldumpslow分析慢查询日志文件

    1 概述 因为直接分析日志文件是个体力活 因此mysql为我们提供了相关工具mysqldumpslow来对慢查询日志文件进行分析 2 mysqldumpslow命令 访问次数最多的10条sql语句 usr local mysql bin m

  • fedora18 从文本模式启动而不是图形界面启动

    在之前的linux版本中 如果想要启动操作系统后直接进入文本模式 那就要修改 etc inittab这个文件 把其中的5改成3即可 可是 linux2 6 貌似是 内核之后 这个文件就改了 它不再控制着系统的默认启动模式了 如果在fedor

  • vant-weapp 组件 样式的覆盖(一)

    最近在小程序开发中使用到 vant weapp 组件 但有些样式不符合自己的项目要求 需要对样式进行覆盖 以DropdownMenu组件为例 需求是用户选择菜单项 菜单文字变成 橙色 样式的修改 就是以权重高的 覆盖权重低的

  • “Docker Content Trust + 镜像签名”，打造安全的 Kubernetes 供应链！

    出品丨Docker公司 ID docker cn 编译丨小东 每周一 三 五晚6点10分 与您不见不散 说在前面 两周前 我们分享了一篇名为 镜像扫描 基于策略的镜像提升 打造安全的 Kubernetes 供应链 的文章 它主要介绍了 Do

  • 利用BaseMultiItemQuickAdapter打造二、三级级菜单

    去网上找了下资料 然后自己整理了下二级 三级菜单的实现 直接上代码 Recyclerview记得要导包 implementation com android support recyclerview v7 28 0 0 一 首先在app下的

  • AI赋能的判定机制的倾向性

    最近忙着论文的事情 没有时间写一些技术博客 而且CSDN的图床经常出现问题 也懒得整理了 今天也是说些闲话 讨论下对未来AI赋能的判定机制的一些思考 什么是AI赋能的判定机制 主要其实就是 基于机器智能的技术手段 来代替人类评判事情 可以举

随机推荐

  • 最全的整理：毫米波雷达在检测、分割、深度估计等多个方向的近期工作及简要介绍

    前情回顾 在之前 我已经有介绍过毫米波雷达在2D视觉任务上的一些经典网络 自动驾驶中雷达与相机融合的目标检测工作 多模态目标检测 整理 Naca yu的文章 知乎 总结概括而言 其本质上都是对视觉任务的一种提升和辅助 主要的工作在于如何较好

  • 一些官方的github地址

    阿里巴巴开源github地址 https github com alibaba 腾讯开源github地址 https github com Tencent 奇虎360github地址 https github com Qihoo360 小米

  • xss的绕过方式

    提示 文章写完后 目录可以自动生成 如何生成可参考右边的帮助文档 文章目录 前言 一 xss的类型以及常用标签 二 xss常用绕过 总结 前言 xss cross site scripting 中文 跨站脚本攻击 常年位于owasp top

  • 损失函数和正则化

    参考 https www cnblogs com LXP Never p 10918704 html https blog csdn net Heitao5200 article details 83030465 https zhuanla

  • C++-----拷贝构造函数

    拷贝构造函数是一种特殊的构造函数 和构造函数同样是特殊的类成员函数 C 提供的拷贝构造函数用于在建立新对象时将已存在对象的数据成员的值复制给新对象 拷贝函数的特点 拷贝函数是构造函数的一个重载形式 拷贝函数的参数只有一个且必须是类类型对象的

  • ffmpeg命令使用记录

    1 添加水印 ffmpeg i a mp4 acodec copy b v 548k vf movie logo png watermark in watermark overlay 20 20 output mp4 说明 i a mp4

  • TM4C123库函数学习（1）--- 点亮LED+TM4C123的ROM函数简介+keil开发环境搭建

    前言 1 首先 我们需要知道TM4C123是M4的内核 对于绝大多数人而言 入门都是学习STM32F103 这款芯片是采用的M3的内核 所以想必各位对M3内核还是有一定的了解 M4内核就是M3内核的升级版本 他继承了M3的的所有功能 同时还

  • leetcode 1604. 警告一小时内使用相同员工卡大于等于三次的人

    力扣公司的员工都使用员工卡来开办公室的门 每当一个员工使用一次他的员工卡 安保系统会记录下员工的名字和使用时间 如果一个员工在一小时时间内使用员工卡的次数大于等于三次 这个系统会自动发布一个 警告 给你字符串数组 keyName 和 key

  • C~运算符

    运算符是一种告诉编译器执行特定的数学或逻辑操作的符号 C 语言提供了以下类型的运算符 算术运算符 关系运算符 逻辑运算符 位运算符 赋值运算符 杂项运算符 算术运算符 下表显示了 C 语言支持的所有算术运算符 假设变量 A 的值为 10 变

  • Windows10安装Docker（基于WSL2，包含WSL2安装教程）

    WSL2 wsl是windows自带的功能 只需要开启Windows功能即可安装子系统 可以通过以下命令获取发行版名字 wsl list online 通过以下命令安装 wsl install d 发行版名字 如 wsl install d

  • android input 机制源码分析

    具体文字说明请参考 http blog csdn net luoshengyang article details 6882903

  • 2018年AI趋势盘点（02）

    善用智能之道 请您点击上方蓝色字体 欢迎关注 九三智能控 懒人阅读 2017年被定义为AI的史诗年 九三觉得17年确实引爆了AI 同时泡沫也存在不少 18年的AI将更加务实技术更加接近真实场景 可以确认的一点是 认知决策能力的升级将对所有行

  • WiFi探针的工作原理及采集的数据？

    WiFi探针在商业 公共安全领域的大放异彩 更多的人想了解什么是WiFi探针 WiFi探针是怎么工作的 WiFi探针的工作原理 要深入了解WiFi探针技术 首先先认识WiFi使用的网络协议 WiFi采用的是IEEE802 11协议集 此协议

  • element对上传组件二次封装，vue上传下载组件的实现

    前言 对element的上传组件进行二次封装 让他可以实现上传下载功能 实现效果 手动上传 不是自动 选中文件后可上传 也可清空选中文件 单个删除也是可以的 实现步骤 1 封装好的 uploadAndDown vue源码 引入就好

  • Linux 入门常用命令(ZT)

    1 Linux进入与退出系统 进入Linux系统 必须要输入用户的账号 在系统安装过程中可以创建以下两种帐号 1 root 超级用户帐号 系统管理员 使用这个帐号可以在系统中做任何事情 2 普通用户 这个帐号供普通用户使用 可以进行有限的操

  • MATLAB——求冲激响应和阶跃响应

    题目 已知一个RLC串联振荡电路系统函数为 其中L 22mH C 2000pF R 100 求其时域的冲激响应和阶跃响应 代码解释 这段代码定义了三个变量 电感L 电容C和电阻R 然后 定义了两个数组a和b 它们是差分方程的系数 接下来 使

  • 拿不到年薪25W全额退款

    速报 2023年经济下行趋势明显 毕业生出路在哪儿 今年 毕业人数将达到1158万 导致很多公司招聘非常谨慎 要求也变得非常更高 别说offer 现在出门找个实习都难 大学四年我都学了啥 是啊 现在咋找实习丰富简历啊 今年毕业的我该怎么办

  • selenium自动处理验证码

    自动化测试中的验证码处理方法小总结 转自 Selenium中文论坛 gt Selenium RC gt 转 自动化测试中的验证码处理方法小总结 原作者 yanpingsha 目前 不少网站在用户登录 用户提交信息等登录和输入的页面上使用了验

  • kubernetes ——网络存储nfs

    kubernetes 网络存储nfs 一 共享的机器上安装nfs 1 yum y insstall nfs utils 2 mkdir p etc exports 3 vi etc exports ifs kubernetes rw no

  • 恶意代码分析实战——Lab03-01.exe基础动态分析篇

    恶意代码分析实战 Lab03 01 exe基础动态分析篇 1 实验目的 综合运用各种分析工具 分析Lab03 01 exe的基本信息 并推测其功能 2 实验环境 硬件 软件 VMware虚拟机 winxp 硬件 处理器Intel Core

热门标签