熊猫烧香分析

恶意代码分析 > 蠕虫

Created At : 2022-02-24 18:09

Views 👀 :

一.样本概况
二.具体行为分析
三.静态分析

一.样本概况

1 .样本信息

样本名称
fc33265501545e53d8b112653c61101dd38f4aae670a27b24811ffbf36fab85f-1645766975
样本类型
PE32 executable (GUI) Intel 80386, for MS Windows
样本大小
89600
MD5
445b86e83afba9fc98b2f4feebdf3ce6
SHA1
46fb064ad64637abf65252b358afe3fcab3dae2f
SHA256
fc33265501545e53d8b112653c61101dd38f4aae670a27b24811ffbf36fab85f
SSDeep
1536:svqepQ1rna0ptN5/SJ90+tmOOq4fUDACmuFDCYOVCmRev6JT3j0kE:CpAja0pf5/SFtmOOq4fUj/EQ/kE

病毒行为：自我复制,感染可执行文件,修改网页文件内容,修改注册表,删除备份文件,关闭杀毒软件窗口,服务与进程

2.分析工具：

PEiD：病毒加壳、脱壳基础性分析
IDA Pro：静态分析
OllyDbg：动态分析
火绒剑
PChunter
ProcessMonitor

3.分析目标

分析恶意代码行为和具体执行流程，并给个手工清理方案

4.PE文件检测

二.具体行为分析

使用火绒剑工具监控病毒样本的运行，待病毒执行一段时间后，分开查看病毒的行为。分析监控到的日志，主要观察的点：
①文件操作，主要看文件创建、修改、删除等操作
②注册表操作，主要看注册表设置、创建等操作
③进程操作，主要看创建进程、写入内存等操作
④网络操作，主要看网络连接地址、IP等信息
⑤其他行为，以及观察病毒样本运行后的反应

2.1进程树比对

在进程树中可以发现，“熊猫烧香.exe”衍生出了“spoclsv.exe” 并且几秒之后父进程不见了

由此可以推断病毒复制了一个副本到系统目录下并且结束了本进程

病毒本身创建了名为“spoclsv.exe”的进程，该进程文件的路径为“C:\WINDOWS\system32\drivers\spoclsv.exe”。并进行自我删除

2.2 进程行为检查

2.2.1 文件操作，主要看文件创建、修改、删除等操作

病毒行为1：创建了两个文件spoclsv.exe”和devcpp.exe

病毒行为2：给每个文件都创造了一个Desktop_.ini（记录日期）文件

病毒行为3：创造了autorun.inf 和setup.exe

打开看一看发现 autorun.inf写入了自启动项的exe是setup

2.2.2注册表修改

病毒行为4：修改了注册表自启动

病毒行为5：修改注册表值让隐藏文件不可见

病毒行为6：删除安全类工具的启动项（看英文orz

病毒行为7：连接局域网向外发包

分析情况总结

分析监控的日志以及自行观察操作之后，可以分析出样本的恶意行为：
1.自我复制样本到C盘：C:\Windows\System32\drivers\目录下，启动C:\Windows\System32\drivers\spo0lsv.exe（即病毒程序）
2.在每一个目录下创建Desktop_.ini，里面存放的是当前日期
3.在C盘根目录下创建了autorun.inf文件，其中指定了自动启动的文件为根目录下的setup.exe（即病毒程序）
4.对程序目录下的exe进行了感染，图标变为熊猫烧香，打开exe时，自动打开病毒
5.枚举进程、查找窗口、打开设备
6.设置注册表启动项为C:\Windows\System32\drivers\spo0lsv.exe
7.自己创建了一个注册表的项，在其中写入了很多信息HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\spo0lsv_RASAPI32
8.设置注册表键值，隐藏文件不显示HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL中的CheckedValue值
9.修改注册表的项IE浏览器的代{过}{滤}理和连接设置
10.使用CMD命令关闭网络共享
11.连接局域网的一些地址，访问一些门户网站