会创建后门的恶意程序

 

 

 

 

 调用了网络发送接受数据的所有函数

 另外观察到这个dll没有导出函数，这是很奇怪的，因为dll文件一般就是为了导出函数给其他的程序使用的

 

这个dll大致的使用了这些函数，因为有接收、发送的函数，还创建了进程，可以猜测会从远程计算机接收命令。

 

 

 如果是sleep就休眠，如果不是再cmp，exec，是的话就调用createprocess，主要注意commandline。在这里是exec后面的内容

 

 

这个蓝箭头跳回hello其实可以看出来它是在不断的执行这个指令的，这里可以发现它实现了一个后门的功能。

分析exe程序　

 

 

 对比是否相等如果是的话就执行下面内容

 

 将kernel32和lab07-03映射进内存

 

 

 

 

 

由此可以看到当前程序是在搜索所有.exe里有kernel32的并完成替换403010

 

 

所以可以看出这个程序会让c盘下所有的有kernel32的exe都被替换成kerne132.dll

在虚拟机运行，需要给他参数

 

 

有非常多的数据可以看出已经是在搜索所有的程序并进行修改

 可以看出已经被修改了。

 这是system下加的kerne132

 

而且这个加的kerne132有很多导出函数，而且它能实现真的kernel32的功能只是多了一个后门的功能

1.如何实现持久化：

首先是system32下假的kerne132，然后是.exe所有的kernel32都被替换

2.主机特征：kerne132 和互斥量

3.目的：创建非常难以删除的后门来连接远程主机，一个是休眠一个是创建进程

4.怎么移除：写一个程序修改kerne132重新改成kernel32