最近半个月都在学《恶意代码分析实战》，想拿真实的恶意软件进行分析一下。正好朋友发了一个过来。(应该是护网的钓鱼文件)

0x01 文件分析

总共包括三个文件：2021年机关员工(子女)名单.exe、name1.jpg、name2.jpg

2021年机关员工(子女)名单.exe：程序是golang编译的，分析起来有点困难。所以没有进行分析，只是看了一下会有什么行为。

name1.jpg为exe
name2.jpg为dll导出了InitBugReport函数，且该函数存在异或解密shellcode的行为。

0x02 行为分析

开启Fake-ng,process monitor和process explorer进行行为监控。在虚拟机中执行程序之后会将nam1.jpg保存为yyexternal.exe

有迷惑性，让人以为是正常的yy程序

name2.jpg会保存为crashreport.dll。之后yyexternal会动态加载crashreport.dll并调用InitBugReport。

0x03 name2.jpg静态分析

加载shellcode的功能都在nam2.jpg(其实是dll)中所以主要分析这个文件。
主要是3个步骤循环：
第一：将byte_100277A8开始偏移%6==3地址上的内容复制到shellcode中
第二：将shellcode循环与!@ASDasd3#@异或解密
第三：将解密后的shellcode复制到VirtualAlloc地址并跳转执行。

如何获取shellcode？
1.脚本解密
2.动态内存dump

这里选择了第二种方法，修改文件名为name2.dll，用OD打开dll，在强制修改EIP为InitBugReport。将shellcode保存下来。

0x04 shellcode分析

最关键的点是偏移0x66会将遍历到的函数hash与目标hash进行比较，如果相关会在0x86处调用。在0x86下断点可以知道shellcode调用的所有函数。

第一次调用LoadLibraryA(“wininet”)

第二步调用InternetOpenA连接27.152.180.223的80端口

第三步调用InternetConnectA

第四次调用 HttpOpenRequestsA 获取/W9ff

第五次调用HttpSendRequestA 使用指定UA去发生请求

因为网站的/W9ff已经没了，所以会请求失败，调用ExitProcess。为了猜测下载文件的作用是什么。可以修改跳转指令。看看后续操作。如果请求失败就会调用ExitProcess。修改标志位Z=0

最后跳转到了新的shellcode执行代码。因为前面都是强制修改了标志位，所以实际并没有shellcode读入。

0x05 总结

shellcode应该是脚本生成的（类似这个https://gist.github.com/jdferrell3/4db966da06f4fa77816a54d802aca0f8）
样本应该是护网的钓鱼文件。

貌似就是一个项目编译出来的三个文件。

初入门径 --- 护网钓鱼样本分析相关推荐

记一次粗浅的钓鱼样本分析过程
原创稿件征集邮箱:edu@antvsion.com QQ:3200599554 黑客与极客相关,互联网安全领域里的热点话题漏洞.技术相关的调查或分析,稿件通过并发布还能收获200-800元不等的稿酬 ...
护网中的分析研判岗有多重要
护网中分析研判是属于高级工程师的工作,是攻防演练能否获胜的核心响应作为遏制攻击.缩小攻击影响面的具体执行阶段,被视为攻防演练中的关键一步.但在对检测到的事件进行处置之前,有一个对事件从识别到评估的过 ...
护网中的分析研判岗工作内容
护网中分析研判是属于高级工程师的工作,是攻防演练能否获胜的核心响应作为遏制攻击.缩小攻击影响面的具体执行阶段,被视为攻防演练中的关键一步.但在对检测到的事件进行处置之前,有一个对事件从识别到评估的过 ...
萌新学Java之初入门径
字符串 String 位于java.lang包 * 使用lang包不用导入头文件 * 字符串特点: 字符串是常量 * (一般字符串的方法都是有返回值的拼接) * 字符串使用跟基本数据类型一样 / ...
聊聊护网中常见钓鱼攻击思路
每日一句:HW中,红队.蓝队都会很累.没有说哪个会更强一些,毕竟道高一尺魔高一丈. 一.网络钓鱼 01.一些简介~钓鱼属于社会工程学~在18年的红蓝对抗还不怎么常见,~在19年的时候就比较泛滥了02. ...
一款专门针对高质量女性的易语言钓鱼样本简单分析
本文首发于合天智汇:网络靶场_在线网络安全学习平台|合天智汇由于一直没怎么分析过易语言的样本,想学习一下易语言的样本分析过程,正好最近碰见了一个易语言编写的样本,是一个专门针对人类高质量女性进行钓鱼 ...
NetInside网络安全分析保障某港口护网行动（二）
前言某港口已部署流量分析系统,在护网攻防期间,使用流量分析系统提供实时和历史原始流量,以供安全取证.应用事务分析.网络质量监测以及深层网络分析. 分析与采集说明为了便于分析使用,在攻防期间,流量分 ...
2022护网日记，护网工作内容、护网事件、告警流量分析
「作者主页」:士别三日wyx 「作者简介」:CSDN top100.阿里云博客专家.华为云享专家.网络安全领域优质创作者 2022护网日记一.监控设备二.工作内容三.安全事件 1)失陷主机排查 ...
2023护网日记，护网工作内容、护网事件、告警流量分析
2023护网日记一.监控设备二.工作内容三.安全事件 1)失陷主机排查 2)后门网站修复四.告警流量分析 1)信息泄露 2)SQL注入 3)文件上传 4)XSS(跨站脚本) 5)代码执行今年 ...

初入门径 --- 护网钓鱼样本分析