进程替换技术

首先进行简单的静态分析

 

1.这个程序的目的是什么？

这里先介绍一下进程替换的原理，简单上来说就是1.挂起的形式创建进程；2.unmapviewofsetion卸载原内存空间；3.替换我们的代码进内存空间；4.修改上下文

我们这里着重观察一下createprocessA

 

 

 

 

 

 

 

根据上述的分析，这就是典型的进程替换技术，所以这个程序的目的是挂起的形式启动一个进程，把他的内存替换成自己的代码，从而实现伪装+免杀

2.恶意代码的负载存储在哪里？

上面有提到这个代码使用了很多资源的api，所以我们可以着重观察一下资源。我们这里进入main函数分析一下。

 

 

这里看到loadresource可以猜测拷贝了资源中的内容

 

 

进入分析发现这是一段典型的加密代码，采用的方式是和第三个参数即0x41异或，我们通过resourcehacker异或0x41发现提取到一个pe文件，证实该猜测

3.恶意负载和字符串列表是如何被保护的？

通过与0x41异或加密来保护