Lab01-04

目录

• 样本信息
  • 字符串信息
  • 导入表信息
  • 资源信息
    • 资源提取
    • 资源PE信息
    • 资源字符串
    • 资源输入表
• 样本分析
  • wupdmgr.exe分析
• 查杀思路
• 总结
• 技巧
• 参考

样本信息

字符串信息

导入表信息

资源信息

资源提取

资源PE信息

资源字符串

资源输入表

样本分析

• 加载psapi.dll,获取关键函数
  

• 遍历所有的进程，查找winlogon.exe
  

• 找到后劫持winlogn，将自己提权，给Winlogon.exe创建一个立即执行的远程线程（sfc_os.dll.SfcTerminateWatcherThread）
  

• 附加winlogon找到sfc_os!SfcTerminateWatcherThread函数，设置断点进行调试

• 将自动更新管理程序剪切到临时目录
  

• 从资源创建一个文件到：C:\WINDOWS\system32\wupdmgr.exe
  

• 运行这个恶意程序

wupdmgr.exe分析

• 样本会将保存到临时目录的winup.exe(原wupdmgr.exe)运行起来，冒充windows的自动更新程序
• 接着访问"http://www.practicalmalwareanalysis.com/updater.exe"，将下载的文件保存为：I "C:\WINDOWS\system32\wupdmgrd.exe"，用以迷惑分析人员(这个文件名多了个d)
• 目前目标网址已经没有那个文件可被下载了，到此，无法再继续下去了。

查杀思路

• 删除C:\WINDOWS\system32\wupdmgr.exe
• 从临时目录还原出wupdmgr.exe(已被改名为：winup.exe)

总结

• 遍历进程、模块等信息可以使用psapi.dll中的函数
• WIN2000/XP中winlogon.exe中使用了fsc_os.dll，可以直接创建远程线程，禁用Windows文件保护
• 从URL下载文件并另行保存的API URLDownloadToFile

技巧

• 附加目标进程，设置断点，静待触发
• 使用StrongOD插件的 Detach功能可以分离调试器

参考

https://www.aldeid.com/wiki/WFP-Windows-File-Protection