【病毒分析】对一个vbs脚本病毒的分析
本文来源:
一、前言
病毒课老师丢给我们一份加密过的vbs脚本病毒的代码去尝试分析,这里把分析过程发出来,供大家参考,如果发现文中有什么错误或者是有啥建议,可以直接留言给我,谢谢!
二、目录整个分析过程可以分为以下几个部分: 0x00 准备工作 0x01 解密部分 0x02 功能分析三、分析过程0x00 准备工作windows xp的虚拟机(在自己的windows下也可以做)vbs的一些基本语法0x01 解密部分右击病毒文件然后编辑打开或者是直接把其后缀修改成txt直接打开都行,可以看到一大段密文,并调用了一个函数deCrypt。暂时只看到这些,那么接着往下看吧。 拖到代码底部,发现有deCrypt了一次,也就是经过了两次加密,这里把执行部分注释掉,然后将解密的结果输出到文本文件中去。另外,可以看到是用base64进行的加密的。 现在来看看解码后的结果。发现依旧是不可阅读的代码,那就继续看看他是怎么处理的吧。 这里可以看到是将之前的字符串按“|dz|”划分,然后得到的是ascii码,将这些ascii码对应的字符拼接起来就好了,就得到了结果。同样的套路将解密结果输出到文件中去再继续分析。 然后这次得到的结果是真正的病毒代码了。接下来对他的功能进行分析。 0x02 功能分析从头开始看吧。显示一些配置信息,包括了服务器的域名。可以查到服务器是美国的,尝试ping了下,ping不通,可能是服务器作了设置不让人ping、也可能是服务器已经不用了、也有可能是我国的防火长城直接墙掉了。。。 然后是一些之后要用到的变量,这里不作过多的解释。 之后就是code start的部分了。然后由于里面调用了各种函数,所以这里按执行的顺序给调用的函数编号,以便阅读,不然会感觉很凌乱的。这里先是调用了instance函数。 1.instance函数给之前的一个参数usbspreading赋值,并对注册表进行写操作 在执行完了instance函数后,会进入一个while true的死循环,不断从服务器读取命令,然后执行。在进入while里面后,先是调用install过程。2.install过程在install中,又调用了upstart,再进去看看。...............................................................................................................略,
查看全文请看这里》》》》》》》原文地址: