男人天堂久久,亚洲精品乱码久久久久久蜜桃91,日韩精品成人av

錦州市廣廈電腦維修|上門維修電腦|上門做系統|0416-3905144熱誠服務,錦州廣廈維修電腦,公司IT外包服務

		設為首頁
		收藏本站

首頁

公司介紹

服務項目

服務報價

維修流程

IT外包服務

服務器維護

技術文章

常見故障

錦州市廣廈電腦維修|上門維修電腦|上門做系統|0416-3905144熱誠服務 → 技術文章

[PC樣本分析] 一個竊密木馬的簡單分析

作者: 佚名日期:2018-06-29 20:06:10 來源: 本站整理

一、樣本信息
1. 樣本類型：竊密
2. 樣本大小：540kb

. 二、簡介
該樣本是針對windows系統盜取ftp,瀏覽器，郵箱賬號密碼的竊密木馬
三、詳細分析/功能介紹原始文件：
該樣本采用vb編寫，但vb其實是一個loder用于解密加載真正的惡意模塊。分析如下：
運行后首先創建一個掛起狀態的傀儡進程

使用ZwWriteVirtualMemory將惡意代碼寫入到剛創建的傀儡進程中,之后交由傀儡程序執行惡意代碼

寫入的惡意代碼為一個Pe文件

該模塊經過分析確定為f竊密木馬，會嘗試竊取瀏覽器/FTP/郵箱賬戶密碼，下載執行exe文件，具體分析如下：

Api獲取：
樣本的api函數通過調用sub_4031e5函數獲取，交叉引用可見有兩百余處引用，動態一個個調試效率太慢，所以使用IDA+od腳本將api函數注釋出來。

可以通過ida腳本將每次解密的參數找出，之后使用od腳本push 這些參數，call 4031e5獲取api。再通過ida腳本將api注釋到ida中。
Ida python查詢參數腳本如下：

Od部分腳本：

Ida注釋腳本：

腳本運行成功后，可見所有的api全部注釋與ida中，增快了靜態分析的效率

功能行為
運行后，首先通過獲取guid創建互斥，保證只有一個實例運行。

之后開始從FTP,瀏覽器，郵箱竊取賬號信息：
Chromium:
Chromium家族的瀏覽器將登錄信息存儲在名為“LoginData”或“Web Data”的文件中，樣本通過硬編碼路徑，通過字符串”password_value”，“username_value”和“original_url”獲取這些文件中的賬戶信息：

Chromium家族的瀏覽器包括ComodoDragon，MapleStudio，Chrome，Nichrome，RockMelt，Spark，Chromium，Titan，Torche，Yandex，Epi，CocCoc，Vivaldi，Comodo Chromodo，Superbird ，Coowon，Mustang，360， CatalinaGroup Citrio，Chrome SxS，Orbitum，Iridium，Opera

firefox：
firefox家族將賬戶信息保存在signons.sqlite，logins.json，prefs.js中，樣本通過讀取這些文件獲得賬戶信息：

Firefox家族瀏覽器包括Firefox，IceDragon，Safari，K-Melon，SeaMonkey，Flok，Thunderbird，BlackHawk，Postbox，Cyberfox,Pale ,Moon,waterfox,Lunascape.

ftp:
通過讀取ftp軟件的ini\ xml\dat文件獲取用戶賬戶信息：

ftp包括TPBox/NppFTP/EasyFTP/Sftp/xftp/StaffFTP/BlazeFtp/DeluxeFTP等

郵箱：
通過讀取郵箱的特定文件獲取用戶用戶信息：

郵箱包括outlook/FossaMail/Postbox/Foxmail等

其他軟件：
獲取包括Automize\fullsync\ExpanDrive\PuTTY等工具用戶信息：

上傳獲取的賬戶信息

將獲取的計算機用戶名，用戶信息，屏幕大小以及獲取到的各種軟件賬戶信息發送到operco****/******/fre.php

拷貝自身到%appdata%下，并設置文件屬性為隱藏,刪除自身

嘗試從服務器獲取下載鏈接。下載其他可執行文件執行

熱門文章

機械革命S1 PRO－02 開機不顯示黑...

聯想ThinkPad NM-C641上電掉電點不...

三星一體激光打印機SCX－4521F維修...

通過串口命令查看EMMC擦寫次數和判...

IIS 8 開啟 GZIP壓縮來減少網絡請求...

索尼kd-49x7500e背光一半暗且閃爍 ...

圖解Windows 7系統快速共享打印機的...

報修電話：13840665804 QQ：174984393 (聯系人:毛先生)
E-Mail：174984393@qq.com
維修中心地址：錦州廣廈電腦城
ICP備案/許可證號：遼ICP備2023002984號-1
上門服務區域: 遼寧錦州市區
主要業務：修電腦,電腦修理,電腦維護,上門維修電腦,黑屏藍屏死機故障排除,無線上網設置,IT服務外包,局域網組建,ADSL共享上網,路由器設置,數據恢復,密碼破解,光盤刻錄制作等服務

技術支持:微軟等