资源节往往大有文章

先进行简单的静态分析

 

 

 

这里观察到资源是pe文件，很有可能恶意样本会读取其中的内容，这里特别注意一下

进入ida分析

 

 

 

 

1.位置0x401000的代码完成了什么功能？

 

判断是否是winlogon程序

 

所以0x401000是一个比较该进程是否为winlogon的函数

 

 

这个api只在windows xp/2000生效，由于xp上wfp(旧版系统文件保护)是泡在winlogon内部的一个监控线程watcherthread，这个线程负责监控system32受保护文件，一旦发现系统文件被覆盖，立刻从dllcache把原版拷贝恢复回去触发文件还原告警。这个函数的作用就是种植winlogon里面wfp的监控线程->临时关掉wfp

 

2.代码注入了哪个进程？

由此可见远程注入了winlogon进程

3.传递给createremotethread调用的第四个参数是什么？

如图可见传递了sfc_os.dl中序号为2的函数地址

 

由于前面调用函数关闭了wfp，所以这里并不会有告警还原

 

 

4.二进制主程序释放出了哪个恶意代码？

释放出了本程序资源中的内容

这里将资源内容写入并启动，所以我们需要看看资源的代码有什么操作，使用resourcehacker提取出文件，并用ida进行分析　　

 

 

 

5.释放出恶意代码的目的是什么？

在这个实验中，进行了wupdmgr的替换，并将原本的wupdmgr保存到winup程序，将原本wupdmgr的内容替换成资源中的内容，然后启动。在被替换的wupdmgr中可以看到先调用原本wupdmgr使程序不会出错，然后再从网站进行下载，从而实现了持久化操作，每次windows更新时只要调用wupdmgr就会从网站下载新的样本。