病毒木马查杀实战第006篇:熊猫烧香之逆向分析(中)
本系列文章版权归“i春秋”全部,转载请标明出处。
一、前言
上一篇文章解说了“熊猫烧香”病毒样本的反汇编代码入口处的分析,尽管尚未研究到病毒的核心部分,但事实上我们兴许的分析与之前的思想是一致的。而越到核心部分,可能会遇到越来越多的API函数。结合所调用函数的參数进行分析,反而有助于我们更easy地理解病毒的行为。
应当将分析出的每个CALL函数。改为我们可以理解的名字,这往往也有助于对兴许程序的理解。
二、病毒功能分析
上一篇文章的最后。我留下了三个CALL没有分析,如今进入第一个CALL,即sub_408024的内部查看一下:
图1 sub_408024起始处
程序先将0x84赋值给ecx,此即为循环次数。然后使用了两个push 0,每一个push可以开辟8个字节(32位)空间,所以这里每次可以获取16个字节的空间,这种空间一共申请ecx次。
那么本段代码的功能在于空间的申请。接下来有:
图2 分析函数sub_40277C
这段代码的最后出现了sub_40277C这个函数,我们跟进后能够看到这几句代码:
图3 跟进sub_40277C
可见sub_40277C主要是调用GetMuduleFileNameA这个API函数,而这个函数的功能就是获取当前进程已载入模块的文件的完整路径,那么就能够将sub_40277C重命名为:GetFilePathAndName。获取成功后。结合OD。能够看到例如以下信息:
图4 获取当前进程的完整路径
接下来有:
图5 分析sub_405684函数
注意第一句代码中的[ebp+var_3B8]保存的就是图4中所获取的路径地址,这个地址值赋给了eax。然后进入sub_405684分析。这个函数中有一处循环结构,是我们重点关注的对象。利用OD动态分析:
图6 sub_405684中的循环结构
只进行静态分析,不easy明确这个循环的作用,可是结合OD单步运行。观察寄存器中的值,就非常easy明确这段代码的功用:它利用之前获取的文件完整路径,从后向前以单字节为单位。不断循环搜索。直至遇到ASCII码值为0x5C或0x2F或0x3A,然后便跳出循环。
而0x5C所表示的是字符“\”。可以知道这段程序要么是获取文件名称,要么是获取不包括文件名称的路径。进入最后一条语句的CALL分析,非常快就行发现:
图7 字符串拷贝
可见。程序将去除了文件名称的路径复制到了之前申请的空间中,于是能够将sub_405684重命名为:GetFilePath。
接下来有:
图8 分析sub_403ED4函数
这三句代码的第一句,是将上面所获取的不带文件名称的路径的地址赋值给eax。然后将字符串“Desktop_.ini”的地址赋给edx。然后进入sub_403ED4进行分析:
图9 字符串连接代码
上图中代码的最后一个CALL,在分析sub_405684(GetFilePath)时遇到过,其作用是将字符串拷贝到指定的位置。对于这段程序来说,就是将“Desktop_.ini”这段字符拷贝到之前的路径字符后面。
那么能够得知,sub_403ED4的作用是字符串的连接。那么就将其重命名为:StringCat。继续分析:
图10 分析sub_4057A4函数
第一句代码是将之前所处理完成的路径字符串地址赋给eax。然后调用sub_4057A4函数。进入该函数能够发现:
图11 查找文件函数
这里调用了FindFirstFileA这个函数,说明它是在查找当前文件夹下“Desktop_.ini”文件是否存在。那么sub_4057A4函数的作用就在于检測文件是否存在,可将其改名为:CheckFileExist。接下来有:
图12 设置文件属性
因为有了之前的分析并进行了重命名,那么这一段代码的作用就非常明显了。首先依据上一段代码的查找结果进行判定,即假设当前文件夹下Desktop_.ini文件存在,那么就将该文件的文件属性调整为NORMAL,接下来有:
图13 文件删除
停止1毫秒后,将Desktop_.ini删除。图12中有一个未知函数sub_4040CC,进去查看,则有:
图14 分析sub_4040CC函数
可见这个函数用于检測待删除的文件路径是否为空。
那么就能够将sub_4040CC重命名为:CheckPath。当然,以上分析是建立在Desktop_.ini文件存在的前提下,假设文件不存在,那么程序就会直接跳到loc_408110处运行:
图15 分析sub_4078E0函数
这里最后一句调用了sub_4078E0函数,跟进去发现这个函数较长。而且也调用了非常多其他的函数,乍一看,似乎不知这个函数到底是做了什么。既然如此,我们能够先无论其详细的实现细节。仅仅看看该函数运行完后,我们寄存器等位置产生了什么变化,主要关注该函数运行前后,程序使用了哪些寄存器。利用OD能够非常easy发现变化:
图16 sub_4078E0函数运行完后的变化(部分)
由截图能够发现,在获取了当前文件的路径后。该函数利用了非常大的一片区域来写入了大量看似无意义的字符。结合右边分析出的ASCII码。发现这些能够理解为是一个暴力破解字典。病毒编写者企图利用暴力破解的方式。来攻破计算机中的某些验证机制。
当然截图中只展示了一小部分变化,病毒还写入了非常多其他信息,有兴趣的读者能够自行查看,这里不再赘述,这有助于我们获取病毒的行为信息。那么这里能够将sub_4078E0函数重命名为:WriteVirusInfoToMem。接下来有:
图17 分析sub_403C44函数
这里第一句运行完后,eax的值为ebp+var_8的地址,通过OD能够知道,这个地址中保存的是0,能够理解为没有数据。之后有一个CALL,我们进入查看一下:
图18 进入sub_403C44函数内部
这里首先取出eax所保存的地址中的值,也就是0。并赋给edx。那么edx保存的也就是0值。之后的test运算,使得ZF变为1,满足跳转条件,那么本段函数也就结束了。
假设说edx所保存的不是0值。那么接下来的语句就会把eax所保存的地址中的值设为0。
这么看上去,这段函数似乎并没有实现什么特别清晰详细的功能。那么最好还是将这个操作理解为某种标志的设置。将sub_403C44重命名为:SetZeroFlags。继续分析:
图19 分析sub_403ECC函数
结合OD能够知道,第一句是获取文件在内存中的首地址。然后进入sub_403ECC查看:
图20 进入sub_403ECC查看
这里须要特别强调的是,因为本病毒程序是使用Delphi编写的,那么字符串的首地址减去4后,所取出的4个字节的内容就是此字符串的长度。也就是说,这段代码中的[eax-4]就是eax所指向的文件长度。
于是能够将sub_403ECC重命名为:GetFileLen。在获取文件长度后,程序会跳转到loc_408163处运行:
图21 分析loc_408163
在获取了文件长度后,这段代码首先会验证文件长度是否为0。这里因为文件真实存在。所以接下来的跳转不成立。
接下来。eax中保存的是文件起始地址。而ebx是文件的长度,于是能够知道,倒数第二句的对照,是验证文件的尾端数据是否为0。假设为0。则接下来的跳转不成立。经过OD的动态分析。这里文件尾端的值为0。所以不运行跳转。继续向下运行。
接下来代码的分析。留给下一篇文章。
三、小结
经过一整篇文章的讨论,我并没有将病毒的一个完整功能块分析全然,主要是我须要讲得仔细些,带领大家弄清楚每个CALL的功能。接下来的最后一篇文章也无法将整个病毒分析全然,可是我相信,仅仅要各位读者勤于动手,并将我所讲的逆向分析的基本原理搞清楚,那么这个“熊猫烧香”就根本不在话下了。