恶意代码分析实战-实验11

本文最后更新于：2021-09-08 下午

Lab 11-1

详细分析

使用火绒剑监控行为，可以看到其向当前的目录下释放了一个Dll文件。

IDA查看，可以看到很明显的从资源节中释放文件

之后会进行注册表的相关操作。

可以看到在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下创建了一个键值GinaDLL，值是释放的DLL的路径。

打开DLL文件，查看其导出表，可以看到大量的Wlx开头的函数，由此可以判断出这是一个GINA拦截，窃取用户登录凭证。

通过查看字符串可以看到一个msutil32.sys，仔细查看发现，是创建此文件，然后向其中写一些数据，写入的数据是什么需要继续往外分析，查看传入的参数。

可以看到写入的数据，是一个结构体的相关信息。而这就是登录账户的信息。

typedef struct _WLX_MPR_NOTIFY_INFO {
  PWSTR pszUserName;//登录账户名称
  PWSTR pszDomain;//登录域名称
  PWSTR pszPassword;//密码
  PWSTR pszOldPassword;//旧密码
} WLX_MPR_NOTIFY_INFO, *PWLX_MPR_NOTIFY_INFO;

1.这个恶意代码向磁盘释放了什么？

释放了一个msgina32.dll文件。

2.这个恶意代码如何进行驻留？

设置注册表，成为winlogon的一员。

3.这个恶意代码如何窃取用户登录凭证？

GINA拦截用户登录信息

4.这个恶意代码对窃取的证书做了什么处理？

将其保存到msutil32.sys文件中。

5.如何在你的测试环境下让这个恶意代码获得用户凭证？

需要先重启，启动拦截，然后注销系统，再次登录时，信息就会被记录。

Lab 11-2

详细分析

使用IDA打开DLL，看到DLL main函数。

首先会尝试打开C:\Windows\system32\Lab11-02.ini这个文件，可以看到模式是打开存在的文件

然后会读取文件中的数据，这是读取到的数据。

解密算法，解密出数据billy@malwareanalysisbook.com，是一个邮箱地址。

然后会进行比较当前运行的是否是THEBAT.EXE、OUTLOOK.EXE、MSIMN.EXE这三个程序，如果是的话会执行下面的三个函数

之后会获取send函数的地址，来进行inline hook

HOOK函数，关于inline hook的相关知识可以查看这里，inline hook

inline hook前

inline hook后

查看HOOK后的jmp地址，这个函数检测send中发送的数据如果含有RCPT TO:，会加入一个新的RCPT TO: billy@malwareanalysisbook.com，RCPT TO是收件人的意思，也就是发送的所有邮件都会被发送到恶意的邮箱去。

DLL还有一个导出函数install，可以看到是设置了一个键值。分析是在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows下的AppInit_DLLs中设置了spoolvxx32.dll，这个键值的作用是当前所有加载user32.dll的程序都会再次加载此键值中的dll。之后会将自身复制到system32目录下。

但是实际测试中发现并没有实现，原因是在XP中这样可以实现，而在win7中不行。