熊猫烧香分析报告

时间：2018-12-17 17:00:36 阅读：398 评论：0 收藏：0 [点我收藏+]

标签：查看进程自我保护测试 Corel 五个 task mnt srv vsr

首先感谢一下小小青的排版,感谢

1．样本概况

1.1 样本信息

病毒名称：熊猫烧香

所属家族：感染蠕虫木马

MD5值：512301c535c88255c9a252fdf70b7a03

SHA1值：ca3a1070cff311c0ba40ab60a8fe3266cfefe870

CRC32：e334747c

1.2 测试环境及工具

运行环境:Win7 x86 虚拟机

分析工具:

火绒剑:分析病毒行为

Exeinfope:查壳

ImpREC:修复脱壳后文件的导入表

PCHunter:查看进程信息,手动查杀等

OllyDbg:动态调试

IDA Pro:静态分析

010Editor:查看病毒插入的信息

1.3 分析目标

找到病毒行为的具体实现代码，了解病毒行为的具体实现原理，知道病毒对机器的执行具体行为，进一步评估病毒对于宿主机器的威胁程度。

2．具体行为分析

2.1 主要行为

病毒行为1:拷贝自身到C:\Windows\System32\drivers目录，

病毒行为2:遍历磁盘，在每个文件夹生成Desktop_.ini文件;

病毒行为3:删除.gho备份文件；

病毒行为4:感染exe/scr/pif/com/htm/html/asp/php/jsp/aspx文件；

病毒行为5;建立启动项，禁止显示隐藏文件；

病毒行为6:下载http://www.ac86.cn/66/up.txt文件，下载病毒；

病毒行为7:删除磁盘共享；

病毒行为8:遍历服务，关闭安全中心等；

病毒行为9:遍历注册表，删除杀毒软件启动项；

2.2 恶意代码分析

2.2.1 第一个关键Call ,病毒复制到指定文件夹下并运行

技术分享图片

2.2.2 第二个Call 主要进行了文件的感染和相关的网络操作,分析如下:

技术分享图片

创建一个线程并进行感染

技术分享图片

从后往前遍历驱动器进行感染

技术分享图片

查找文件并进行感染(排除指定文件夹: WINDOWS,WINNT,SYSTEM32, Documents and Settings, System Volume Information, Recycled, Windows NT, WindowsUpdate, Windows Media Player, Outlook Express, Internet Explorer, NetMeeting, Common Files, ComPlus Applications, Common Files, Messenger, InstallShield Installation Information, Microsoft Frontpage, Movie Maker, MSN Gamin Zone)

技术分享图片

操作ini文件,并写入日期

技术分享图片

删除gho文件

技术分享图片

把文件读入到内存,对(exe,scr,pif,com)文件进行感染

技术分享图片

往文件后面追加一段字符串

技术分享图片

对网页文件(htm,html,asp,php,jsp,aspx)感染

技术分享图片

设置一个定时器

技术分享图片

检测autorun.inf文件是否存在,不存在则创建

技术分享图片

拷贝自身到根目录下,并命名为setup.exe

技术分享图片

2.2.3 第三个Call里面主要有6个定时器,主要是病毒的自我保护

技术分享图片

具体分析如下:

定时器1:

1).访问令牌,修改自身的权限

技术分享图片

2).获得桌面窗口,枚举杀软进程,并结束相关进程和线程技术分享图片

技术分享图片

3).操作注册表,设置自启动目录为drivers目录下的spo0lsv.exe,修改文件和目录的属性为不可见.

技术分享图片

定时器2:从指定网站更新程序

技术分享图片

定时器3:通过命令行实现共享的关闭

技术分享图片

定时器4:枚举各种线程相关的服务并关闭,设置安全软件的注册表无效(注册表包含项:RavTask,KvMonXP,kav,McAfeeUpdaterUI,NetworkAssociatesErrorReportingService,yassistse

停止服务包含项:

sharedaccess,RsCCenter,RsRavMon,KVWSC,KVSrvXP,kavsvc,AVP,McAfeeFramework,McShield,McTaskManager,navapsv,wscsvc,KPfwSvcKPfwSvc,ccProxy,ccProxy,ccProxy,SPBBCSvc,SymantecCoreLC,NPFMntor,NPFMntor,FireSvc)

技术分享图片