2h

Author: d3k4

randomMalware/README.md

@@ -1,6 +1,17 @@
 # Random Malware Analysis
 
-## рандом крипто [вирус](http://forums.bgdev.org/index.php?showtopic=49142&st=0)
+<!-- TOC -->
+
+- [Random Malware Analysis](#random-malware-analysis)
+    - [Начало](#начало)
+    - [Статичен анализ](#статичен-анализ)
+    - [Динамичен анализ](#динамичен-анализ)
+
+<!-- /TOC -->
+
+## Начало
+рандом крипто [вирус](http://forums.bgdev.org/index.php?showtopic=49142&st=0)
+
 ![](images/2017-03-14-11-11-02.png)
 
 ## Статичен анализ
@@ -41,6 +52,12 @@ DECIMAL       HEXADECIMAL     DESCRIPTION
 11213         0x2BCD          PC bitmap, Windows 3.x format,, 568 x 263 x 24
 
 ```
+`Strings` също не ни помогна за статичния анализ, ето интересните попадения след изпълнението му:
+
+```
+C:\Program Files (x86)\Microsoft Visual Studio\VB98\VB6.OLB
+```
+Според мен това се използва за проверка дали версията отговаря на изискванията за да се изпълни успешно вируса.
 
 ![](images/2017-03-15-11-03-44.png)
 
@@ -84,25 +101,77 @@ System breakpoint reached!
 
 Добре е по време на следващата част да имаме декомпилирания код за да можем да следим изпълнението по-ефективно.
 
-### Динамичен анализ
+-----------
+
+## Динамичен анализ
 
 Приготвяме си виртуалната машина(контролираната среда). Много е важно да си направим Snapshot преди да изпълним файла - това е нашия Quick Save който ще ни позволи да се дезинфектираме бързо от изпълнението на вируса.
 
 Ето го процеса:
 ![](images/2017-03-14-16-19-37.png)
 
-Пуснах [FakeNet](2017-03-14-16-20-33.png) да хвана дали изпраща някакви сигнали към C&C, все още нищо. Добре е да си имаме и един Wireshark в бакграунда.
+Пуснах [FakeNet](images/2017-03-14-16-20-33.png) да хвана дали изпраща някакви сигнали към C&C, все още нищо. Добре е да си имаме и един Wireshark в бакграунда.
 
-С програмки като Regshot можем да видим какви точно промени прави вируса по системата ви - ето го моя [резултат](files/changes.htm), общо 62 промени.
+С програмки като Regshot и Procmon.exe(Sysinternals) можем да видим какви точно промени прави вируса по системата ви:
 
-<да се допълни с пояснения>
+  1. Резултатите от Regshot: [1](files/changes_x86.txt) и [2](files/changes2_x86.txt). Оказа се че файлът първоначално си бърка по регистрите за да се забие и стане persistent, след което се рестартира.
+  
+  2. Резултата от **Procmon** tracing-ът: [1](files/logfile.csv)
 
+За да разберем какво точно правят всичките мапнати(имената на фунцкийте са адреси в памета на вируса), че е необходимо да отворим декомпилирания код и дебъгър.
 
 Аз използвам x32dbg. Стартираме приложението и скагаме брейк пойнт на: `0x00401099`
 
 ```
 00401099       | E8 F0 FF FF FF    | call <doc.ThunRTMain>     # Main() функция                                   |
 ```
+
 ![](images/2017-03-14-21-15-18.png)
 
-продължаваме...
+
+Ето го и прозореца с декомпилирания код, подчертал съм важните за нас функций(Form_) и процеси(Proc). 6 цифрените hex числа са 32битовите адреси където се помещава изпълнимия код. Всички са част от '.data' сегмента на вируса:
+
+![](images/2017-03-15-16-32-30.png)
+
+За да разбера какви са точно тези функций и процеси, ще поставя breakpoints на всички тези адреси от паметта:
+
+```
+Code -> Sheepless2 -> Form_Load_47BA84 # 0x47BA84
+Code -> Sheepless2 -> Form_Initialize_47B7A0 # 0x47B7A0
+Code -> Sheepless2 -> Proc_0_2_47B69C # 0x47B69C
+Code -> Sheepless2 -> Proc_0_3_47B664 # 0x47B664
+Code -> Sheepless2 -> Proc_0_4_47B5BC # 0x47B5BC
+Code -> Sheepless2 -> Proc_0_5_47B62C # 0x47B62C
+Code -> Sheepless2 -> Proc_0_6_47B5F4 # 0x47B5F4
+Code -> Sheepless2 -> Proc_0_7_47B584 # 0x47B584
+```
+
+Въобще не можах да стигна до тези брейкпоинти по време на изпълнението, след като паузирах дебъгинга се озовах на:
+
+```
+7763CC70 | B8 33 00 06 00           | mov eax,60033            
+```
+
+![](images/2017-03-16-15-59-36.png)
+
+Стандартна библиотека: NtDelayExecution(милисекунди) т.е 0x60033 --> 393267 милисекунди --> 393сек --> 6:33мин. Това е забавянето след което мауеъра продължава.
+
+
+
+
+-------
+
+Записки:
+
+Това е push-нато на стака:
+```
+0018F8C0  00471FE4  &L"0D};0804:{81D4E9C9-1D3B-41BC-9E6C-4B40BF79E35E}{FA550B04-5AD7-411f-A5AC-CA038EC515D7}"
+```
+след кратка справка с Google разбираме че това е:
+
+**Windows Language Pack Default Values**
+Language | Default Value | 
+---------|----------|
+ Chinese - PRC | zh-CN: Microsoft Pinyin - Simple Fast (0804:{81D4E9C9-1D3B-41BC-9E6C-4B40BF79E35E}{FA550B04-5AD7-411f-A5AC-CA038EC515D7}) 
+
+