一个DDOS木马后门病毒的分析
http://blog.csdn.net/qq1084283172/article/details/49305827
一、样本信息
文件名称：803c617e665ff7e0318386e24df63038
文件大小：61KB
病毒名称：DDoS/Nitol.A.1562
MD5：803c617e665ff7e0318386e24df63038
Sha-1：e05277aafd161470b020e9e8d2aa2dcb9759328c
二、样本行为
0x1.打开与当前病毒进程文件同名的信号互斥量，判断信号互斥量是否存在，防止病毒行为的二次执行。
0x2.通过注册表"SOFTWARE\\JiangMin\\"和"SOFTWARE\\rising\\"，判断江民、瑞星杀毒软件的是否存在。
0x3.创建进程快照，判断360的杀软进程360sd.exe、360rp.exe是否存在；如果存在，则结束360杀毒的进程360sd.exe和360rp.exe。
0x4.通过注册表"SOFTWARE\\JiangMin\\"和"SOFTWARE\\rising\\"，判断江民、瑞星杀毒软件是否存在；如果江民、瑞星的杀软存在，则创建线程在用户桌面的右下角伪造360杀软的弹窗界面迷惑用户。
0x5.创建线程利用IPC入侵用户的主机，种植木马病毒。利用弱口令猜测用户主机的用户名和密码，如果入侵成功则拷贝当前病毒进程文件到用户主机系统中，然后运行病毒文件，创建病毒进程。
如果当前病毒进程IPC入侵用户的局域网的主机系统成功，则拷贝当前病毒进程文件到用户的主机系统中，然后运行病毒文件，创建病毒进程。
0x6.创建线程，在移动设备盘中释放病毒文件anturun.inf，进行病毒的传播。
1.判断遍历的磁盘是否是移动设备盘，如果是移动设备盘进行病毒文件anturun.inf的释放和病毒的传播。
2.判断遍历的移动设备盘中是否存在anturun.inf文件夹；如果存在，则将其改名为随机字符组成的文件夹名称；删除原来正常的anturun.inf文件，创建病毒文件anturun.inf。
3.经过整理后，病毒创建的anturun.inf文件。
4.为病毒文件anturun.inf创建执行体病毒程序recycle.{645FF040-5081-101B-9F08-00AA002F954E}\GHOSTBAK.exe即拷贝当前病毒文件，创建病毒文件recycle.{645FF040-5081-101B-9F08-00AA002F954E}\GHOSTBAK.exe并设置该病毒文件的属性为系统、隐藏属性。
0x7.通过注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentContaRolset\Services\Jklmno Qrstuvwx Abc判断病毒服务"Jklmno Qrstuvwx Abc"是否已经存在。
0x8.如果病毒服务"Jklmno Qrstuvwx Abc"不存在，则创建病毒服务，然后启动病毒服务。
1.判断当前病毒进程是否是运行在"C:\\WINDOWS\\system32"目录下；如果不是，则拷贝当前病毒进程的文件，创建和释放随机字符组成名称的病毒文件，如"C:\\WINDOWS\\system32\\tkkiwk.exe"到"C:\\WINDOWS\\system32"目录下。
2.使用释放到"C:\\WINDOWS\\system32"目录下的病毒文件tkkiwk.exe创建病毒服务"Jklmno Qrstuvwx Abc"；如果该病毒服务已经存在并且打开病毒服务失败，则删除病毒服务、删除病毒文件自身；如果病毒服务不存在，则启动病毒服务"Jklmno Qrstuvwx Abc"。
3.如果病毒服务"Jklmno Qrstuvwx Abc"启动成功，则将病毒服务的信息写入注册表"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\ "Jklmno Qrstuvwx Abc"的键值对"Description"中。
0x9.如果病毒服务"Jklmno Qrstuvwx Abc"已经存在，则启动病毒服务。
1.为服务"Jklmno Qrstuvwx Abc"设置例程处理函数，用于控制服务的状态。
2.设置创建的病毒服务的状态，创建互斥信号量"Jklmno Qrstuvwx Abc"并初始化网络套接字。
0x10.创建线程，主动向病毒作者服务器"zhifan1314.oicp.net"发起网络连接，然后将用户的电脑的信息如操作系统的版本信息、CPU硬件信息、系统内存等信息发送给远程控制的病毒作者的服务器上。
1.主动向病毒作者服务器"zhifan1314.oicp.net"发起网络连接。
2.获取用户的电脑信息如操作系统的版本信息、CPU硬件信息、系统内存等信息，将其发送到病毒作者的服务器网址"zhifan1314.oicp.net"上。
0x11.接受病毒作者的从远程发送来的控制命令，解析远程控制命令进行相关的控制操作，尤其是创建很多的网络僵尸线程，导致用户的电脑和系统主机产生”拒绝服务”的行为。
1.控制命令1-"2"，创建很多网络连接操作的僵尸线程，IP地址为"zhifan1314.oicp.net"。
2.控制命令2-"3"，创建浏览器进程"C:\\windows\\system32\\Program Files\\Internet Explorer\\iexplore.exe"并创建很多发送Http网络请求的网络僵尸线程，IP地址为"zhifan1314.oicp.net"。
3.控制命令3-"4"，创建很多网络操作的僵尸线程，IP地址为"zhifan1314.oicp.net"。
4.控制命令4-"6"，通过互斥信号量"LRscKSQhdHZ0d2EiHCYzYSEoN21rendsQw=="判断病毒行为是否已经执行；如果已经执行，则删除病毒服务"Jklmno Qrstuvwx Abc"并删除病毒服务创建的注册表"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\ "Jklmno Qrstuvwx Abc"。
5.控制命令5-"16"、"17"，从指定网址下载病毒文件到系统临时文件目录下，然后运行病毒文件，创建病毒进程。
6.控制命令6-"18"，如果互斥信号量"Jklmno Qrstuvwx Abc"已经存在，则释放信号互斥量"Jklmno Qrstuvwx Abc"；从指定网址下载病毒文件到系统临时文件目录下，然后运行病毒文件，创建病毒进程；如果病毒服务"Jklmno Qrstuvwx Abc"已经存在，则删除病毒服务"Jklmno Qrstuvwx Abc"，结束当前进程。
7.控制命令6-"19"，为当前病毒进程，运行iexplore.exe程序，创建IE进程。
8.控制命令6-"20"，为桌面窗口，创建iexplore.exe进程。
0x12.死循环，创建无限的线程-用以创建网络僵尸线程和接受病毒作者的远程控制，具体的行为上面已经分析的很详细了（不重复），只不过这次病毒进程主动连接的病毒作者的服务器IP 地址是104.107.207.189:8749。
病毒行为总结-文字版：
0x1.打开与当前病毒进程文件同名的信号互斥量，判断信号互斥量是否存在，防止病毒行为的二次执行。
0x2.通过注册表"SOFTWARE\\JiangMin\\"和"SOFTWARE\\rising\\"，判断江民、瑞星杀毒软件的是否存在。
0x3.创建进程快照，判断360的杀软进程360sd.exe、360rp.exe是否存在；如果存在，则结束360杀毒的进程360sd.exe和360rp.exe。
0x4.通过注册表"SOFTWARE\\JiangMin\\"和"SOFTWARE\\rising\\"，判断江民、瑞星杀毒软件是否存在；如果江民、瑞星的杀软存在，则创建线程在用户桌面的右下角伪造360杀软的弹窗界面迷惑用户。
0x5.创建线程利用IPC入侵用户的主机，种植木马病毒。利用弱口令猜测用户主机的用户名和密码，如果入侵成功则拷贝当前病毒进程文件到用户主机系统中，然后运行病毒文件，创建病毒进程。
0x6.创建线程，在移动设备盘中释放病毒文件anturun.inf，进行病毒的传播。
1.判断遍历的磁盘是否是移动设备盘，如果是移动设备盘进行病毒文件anturun.inf的释放和病毒的传播。
2.判断遍历的移动设备盘中是否存在anturun.inf文件夹；如果存在，则将其改名为随机字符组成的文件夹名称；删除原来正常的anturun.inf文件，创建病毒文件anturun.inf。
3.为病毒文件anturun.inf创建执行体病毒程序recycle.{645FF040-5081-101B-9F08-00AA002F954E}\GHOSTBAK.exe即拷贝当前病毒文件，创建病毒文件recycle.{645FF040-5081-101B-9F08-00AA002F954E}\GHOSTBAK.exe并设置该病毒文件的属性为系统、隐藏属性。
0x7.通过注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentContaRolset\Services\Jklmno Qrstuvwx Abc判断病毒服务"Jklmno Qrstuvwx Abc"是否已经存在。
0x8.如果病毒服务"Jklmno Qrstuvwx Abc"不存在，则创建病毒服务，然后启动病毒服务。
1.判断当前病毒进程是否是运行在"C:\\WINDOWS\\system32"目录下；如果不是，则拷贝当前病毒进程的文件，创建和释放随机字符组成名称的病毒文件，如"C:\\WINDOWS\\system32\\tkkiwk.exe"到"C:\\WINDOWS\\system32"目录下。
2.使用释放到"C:\\WINDOWS\\system32"目录下的病毒文件tkkiwk.exe创建病毒服务"Jklmno Qrstuvwx Abc"；如果该病毒服务已经存在并且打开病毒服务失败，则删除病毒服务、删除病毒文件自身；如果病毒服务不存在，则启动病毒服务"Jklmno Qrstuvwx Abc"
3.如果病毒服务"Jklmno Qrstuvwx Abc"启动成功，则将病毒服务的信息写入注册表"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\ "Jklmno Qrstuvwx Abc"的键值对"Description"中。
0x9.如果病毒服务"Jklmno Qrstuvwx Abc"已经存在，则启动病毒服务。
1.为服务"Jklmno Qrstuvwx Abc"设置例程处理函数，用于控制服务的状态。
2.设置创建的病毒服务的状态，创建互斥信号量"Jklmno Qrstuvwx Abc"并初始化网络套接字。
0x10.创建线程，主动向病毒作者服务器"zhifan1314.oicp.net"发起网络连接，然后将用户的电脑的信息如操作系统的版本信息、CPU硬件信息、系统内存等信息发送给远程控制的病毒作者的服务器上。
1.主动向病毒作者服务器"zhifan1314.oicp.net"发起网络连接。
2.获取用户的电脑信息如操作系统的版本信息、CPU硬件信息、系统内存等信息，将其发送到病毒作者的服务器网址"zhifan1314.oicp.net"上。
0x11.接受病毒作者的从远程发送来的控制命令，解析远程控制命令进行相关的控制操作，尤其是创建很多的网络僵尸线程，导致用户的电脑和系统主机产生”拒绝服务”的行为。
1.控制命令1-"2"，创建很多网络连接操作的僵尸线程，IP地址为"zhifan1314.oicp.net"。
2.控制命令2-"3"，创建浏览器进程"C:\\windows\\system32\\Program Files\\Internet Explorer\\iexplore.exe"并创建很多发送Http网络请求的网络僵尸线程，IP地址为"zhifan1314.oicp.net"。
3.控制命令3-"4"，创建很多网络操作的僵尸线程，IP地址为"zhifan1314.oicp.net"。
4.控制命令4-"6"，通过互斥信号"LRscKSQhdHZ0d2EiHCYzYSEoN21rendsQw=="判断病毒行为是否已经执行；如果已经执行，则删除病毒服务"Jklmno Qrstuvwx Abc"并删除病毒服务创建的注册表"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\ "Jklmno Qrstuvwx Abc"。
5.控制命令5-"16"、"17"，从指定网址下载病毒文件到系统临时文件目录下，然后运行病毒文件，创建病毒进程。
6.控制命令6-"18"，如果互斥信号量"Jklmno Qrstuvwx Abc"已经存在，则释放信号互斥量"Jklmno Qrstuvwx Abc"；从指定网址下载病毒文件到系统临时文件目录下，然后运行病毒文件，创建病毒进程；如果病毒服务"Jklmno Qrstuvwx Abc"已经存在，则删除病毒服务"Jklmno Qrstuvwx Abc"，结束当前进程。
7.控制命令6-"19"，为当前病毒进程，运行iexplore.exe程序，创建IE进程。
8.控制命令6-"20"，为桌面窗口，创建iexplore.exe进程。
0x12.死循环，创建无限的线程-用以创建网络僵尸线程和接受病毒作者的远程控制，具体的行为上面已经分析的很详细了（不重复），只不过这次病毒进程主动连接的病毒作者的服务器IP 地址是104.107.207.189:8749。
文档的下载地址：http://download.csdn.net/detail/qq1084283172/9201793
一个DDOS木马后门病毒的分析相关推荐
- 网站服务器rookit级木马后门查杀分析
在服务器木马后门检测中rookit也是根据特征的,他们检查的都是某一些rk的看这个root或者一些其他的通用型root的,但我现在所使用的项目,它这个UK的可能比较小众,所以没有被检测出来.那这个是 ...
- 一个感染型的病毒逆向分析
作者:Fly2015 其实对于病毒分析人员来讲,会逆向分析汇编代码只是一个方面,一名出色的病毒分析人员不但要会分析汇编代码还要会总结病毒的行为.因为病毒分析报告是给看不懂这些汇编代码人员看的.一份好的 ...
- 一个简单的Android木马病毒的分析
一.样本信息 文件名称: 一个安卓病毒木马.apk 文件大小:242867 byte 文件类型:application/jar 病毒名称:Android.Trojan.SMSSend.KS 样本MD5 ...
- 一个DDOS病毒的分析(一)
一.基本信息 样本名称:Rub.EXE 样本大小:21504 字节 病毒名称:Trojan.Win32.Rootkit.hv 加壳情况:UPX(3.07) 样本MD5:035C1ADA4BACE78D ...
- 5-Web安全——php木马后门分析（入侵溯源）
由于最近在学习入侵溯源和应急响应这块的知识,本着先理论再实践的原则,应用现有所学的知识自己动手分析一个php大马. 先随便从网上下载一个php大马,扔到虚拟机里打开,得到如下信息: 看到上面有一大串乱 ...
- 病毒木马查杀实战第010篇：QQ盗号木马之十六进制代码分析
前言 按照我的个人习惯,在运用诸如IDA Pro与OllyDBG对病毒进行逆向分析之前,我都会利用一些自动化的工具,通过静态或动态的分析方法(参见<病毒木马查杀第008篇:熊猫烧香之病毒查杀总结 ...
- 一个简单木马分析及接管利用
最近一段时间,感觉工作很是杂乱无章,博客也基本没时间来写,基本每月一篇,其实每写一篇也代表目前我自己的工作状态及内容.最近搞逆向这一块,找了些样本分析例子,自己也研究了一下,感觉有不少好东西,当然这些 ...
- [转] 一个U盘病毒简单分析
(转自:一个U盘病毒简单分析 - 瑞星网 原文日期:2014.03.25) U盘这个移动存储设备由于体积小.容量大.便于携带等优点,给人们的存储数据带来了很大的便利.但正是由于这种便利,也给病毒有 ...
- 计算机木马的特点 分类 危害,计算机网络病毒的分析与防范
计算机网络病毒的分析与防范 (66页) 本资源提供全文预览,点击全文预览即可全文预览,如果喜欢文档就下载吧,查找使用更方便哦! 25.9 积分 毕业设计论文题目:计算机网络病毒的分析与防范系/专业:计 ...
最新文章
- Android 弱网测试(小米手机切换3g和2g)
- Elasticsearch Javascript API增删改查
- 重构-改善既有代码的设计：简化函数调用 （八）
- shell的if判断比较
- vb 数组属性_VB中菜单编辑器的使用讲解及实际应用
- （转载）今天的她坐在凳子上面的【飞秋】
- 信息学奥赛一本通（1161：转进制）
- python实现qq登录_python实现QQ批量登录功能
- hαbits的意思_h【snail吧】_百度贴吧
- C语言，函数调用使用方法
- awg线径与电流_AWG线径对照表
- w ndows7如何清理垃圾,Win7系统清理：如何清理Win7系统盘垃圾
- PTES标准中的渗透测试阶段（要点）
- 交换机常用命令及console口配置
- 构建一个属于自己的centos7-php80-swoole的Docker镜像
- 入库管理系统示例代码
- 阿里研究员吴翰清：世界需要什么样的智能系统
- Linux执行某些命令缺少libtinfo.so.5
- 微信支付服务商以及特约商户相关总结
- mysql无法执行二进制文件_kail系统64，mysql64，出现-bash: bin/mysqld: 无法执行二进制文...