病毒行为分析

主角:ProcessMonitor、虚拟机、木马样本
步骤:
首先运行ProcessMonitor,界面如下

下面要排除干扰因素,把系统的进程排除掉,我一般选用进程PID作为排除依据,在正常进程的PID上面右键,选择Exclude 'XXX',这样就根据PID把正常进程的行为排除了。一直重复,直到ProcessMonitor里面的内容完全被排除。
下面就可以运行木马样本来分析了。
双击setup.exe,ProcessMonitor里面记录了许多行为,共有3000+个,所以我们还要继续筛选。

这个地方我一般是根据操作作为排除依据。
操作总共分4大类,注册表、文件、网络、进程,工具栏上对应着4个开关。

先看看文件。
把那四个开关,除了第二个,其他都关闭,剩下的内容都是文件操作。
文件操作又分很多种,我们关系的是病毒生成了哪些文件,对应的操作名字是WriteFile,所以在操作那里,把不是WriteFile的统统排除,方法和上面一样。

从图中看以看出,病毒在“C:WINDOWS”释放了一个病毒体“abc.exe”
文件分析到此为止。
下面是注册表。
把注册表的开关打开,文件的开关关闭。
同样我们关心的是写注册表的操作,对应的操作名是RegSetValue,将其他的操作排除。

我们看到写操作只有HKLMSOFTWAREMicrosoftCryptographyRNGSeed
经过查询,这个地方无关紧要,没什么作用。

至于网络访问,木马一般都是反向连接到黑客的电脑,我们可以通过这个获取黑客电脑IP。

进程监视这里,可以看出木马运行了哪些程序,重点操作是process start。

如图中,总共有两个进程被创建,一个是setup.exe,这个是病毒样本,另一个是abc.exe,这个是释放的病毒体。如果出现了其他程序,就要考虑是不是木马下载了其他木马病毒程序。
至此,木马的所有重要行为都被我们记录下来了,我们可以根据木马对系统的修改从而写出专杀。
对于此木马,我们只要结束进程abc.exe和setup.exe,删除C:WINDOWSabc.exe即可完全清除。
希望本文对各位有所帮助。

病毒行为分析
Share this