被感染的程序往往会成为恶意程序的帮凶

1.静态分析得到哪些有趣的线索？

 

 

 动态链接库有个导出函数

 2.当运行这个恶意代码时发生了什么？

这里可以发现在系统目录下写入了inet_epar32.dll文件，刚刚在strings中看到了这条路径，这里猜测该dll文件就是本次实验的lab11-03.dll文件，我们对比md5码发现是相同的

 

说明恶意样本将dll文件修改了名称复制自己到系统目录中

这里可以看到他访问了cisvc.exe，不过因为我的路径里并没有这个文件所以访问失败了

3.lab11-03.exe如何安装lab11-03.dll使其长期驻留？这个恶意代码感染windows系统哪个文件？

这里进入ida观察一下Lab11-03.exe具体有什么行为

 我们进入这个401070观察具体发生了什么

 

 

 

 

进入观察dword_409030看看这个全局变量中存了什么内容

 这里看上去像shellcode，我们变换成机器语言观察

 

所以我们可以初步判断这个恶意样本会在cisvc的某个位置memcpy这段shellcode，我们将感染后的文件和正常的文件对比可以发现

 

 

 进入od更清晰的看出了，这段二进制编码就是这段shellcode，所以更加验证推断：恶意样本感染了cisvc，在对齐的位置加入了自己的shellcode并写回磁盘，并将入口点改成了这段shellcode开始的位置，在最后回到cisvc原本的入口点。

 

 

 

 

因此我们可以下结论，这个恶意代码是通过感染cisvc.exe来实现长期驻留的

4.lab11-03.dll做了什么？这个恶意代码收集的数据存放在何处？

通过前面的分析来看，主要做了什么要看它的导出函数，所以我们在ida中着重分析这部分

 

 

 

 

 

 

 

所以可以下结论：lab11-03.dll主要做的就是记录键盘行为并把它记录在kernel64x.dll这个文件里。