练手之经典病毒熊猫烧香分析(上) – 七夜的故事

  熊猫烧香病毒在当年最好的火的一塌糊涂! 糟糕透顶,传染很快。,这是病毒史上的人家佛经诉讼。。但它是旧的。,大抵不注意什么相干。,这项技术先前老一套了。。作为人家手锻炼计划,开端对熊猫烧香病毒举行辨析。率先,预备病毒范本(见雪集会的公共场所),虚拟机与XP Sp3体系。范本参量如次

  • 病毒专门名称:
  • 文献大小:61952 bytes
  • MD5值:3520D3565273E41C9EEB04675D05DCA8
  • SHA1值:BB1D8FA7EE4E59844C1FEB7B27A73F9B47D36A0A
  • CRC32:23B6DA2A

现任的的首要宗派是行动辨析。,因而必要两个软件 ,一是转换 Monitor v3.10,人家是PCHunter。Process Monitor V3.10由微软储备物质,可以监督男高音到文献。,记录簿,用于制度和穿成串处置容易搬运的器。

PCHunter是人家难以对付的的方舟器,处置rootkit,我首要想上升病毒顺序,查找隐蔽文献,稍微启动计划。

率先,咱们在XP SP3虚拟机说话中肯吐艳男高音 Monitor ,当时的运转病毒,这时候就开端监听熊猫烧香的一举一动。

跑步大概两分钟后,咱们应用pCunter挂起病毒顺序,中止他的任务。在这点上,您会获得知识男高音名责怪,只是,右键再把他挂起来。

挂断后,将Process 监督器说话中肯监督器录音被保持健康,当时的咱们可以举行离线辨析。。Process 监督器的电源是拒绝者。,因转换 监控器监控缠住男高音,录音量太大。这边咱们是人男高音穿成串,文献,记录簿和制度四价元素接防辨析病毒的行动。。

1。男高音穿成串

因咱们获得知识转换专门名称更改了,因而先看转换 监控器说话中肯转换树,默许转换和穿成串的不同。

在上面图片的白色框中,咱们获得知识大约转换先前开端了。,当时的有三个CMD启动。,要履行的命令是:cmd.exe /c net share C$ /del /y ,cmd.exe /c net share A$ /del /y,cmd.exe /c net share admin$ /del /y ,这些cmd的命令首要是用来拟出默许共享。让咱们来看一眼大约穿成串,很大程度上穿成串先前启动。,履行稍微容易搬运。

2。文献

率先,看一眼转换从何而来,过滤文献容易搬运。

你可以留心本人的分类,当时的将文献写信反映C:\Windows \Stase\\驱动顺序 在文献夹下。当时的它临到开端了。

开端真正的传染,在每个磁盘的根目录中完全一样的亲自,命名为,建立文献。用户的角色是当用户翻开磁盘时,会非本意的动作运转,赚得持续运转。同时在完全盘的每个在文献夹下创办文献。

运转一段时间后,开端传染EXE文献,从上面的图片,你可以留心我先前写了下去我的容易搬运。

传染的水果发展成了上面的数字。。

三。登记

病毒在记录簿容易搬运上做了几件事。,第一件事是扩大某人的权力自我意识启动。,在 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run键项中添加svcshare。同时设置

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL 心的CHECKDIVE值的键指定设置为0。,举行文献隐蔽,防备用户检查病毒的履行。大约转换偶然做一次。。

瞬间件事是拟出软启动。,它包含卡巴斯基,McAfee McAfee和安心软毙伤。

4。制度

从眼前的辨析,病毒将持续经过默许共享扫描网络。。在网络中应用 中散布。

5。写人家简略的凶杀器

手工生产或非本意的动作,经过病毒的行动,咱们首要从以下数个接防减弱病毒:

  1. 完毕与处置
  2. 拟出,,和文献
  3. 拟出HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run键项说话中肯svcshare,将HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL说话中肯CheckedValue设置为1

终于,应用MFC(临时的拟出)使安定了熊猫血洗器。,有些密码援用蒋烨的技术特别纵队。。

6。总结

 经过行动监控的方法履行了对熊猫烧香病毒的查杀,但这还不敷。。传染的EXE文献,咱们还不注意大好。,也许你想更远地想出,鄙人一节中,咱们报复病毒。,看它是若何传染的。

7。持续的

  我旧书Python爬虫功绩与计划技击术出来了。这本书包含根本说法。,中深三章,非但适用零基资助者,它也依从的有必然根底的爬虫爱好者。,也许不注意分销爬虫,责怪数十行过个录音的分量,责怪若何溃反卑鄙的人,JS的编密码将不被辨析,这本书将给你结果惊喜。。也许大伙儿都对这本书感兴趣,我可以看一下。范本章。

发表评论

电子邮件地址不会被公开。 必填项已用*标注