PC端恶意代码隐藏手段对抗

2022-12-30 恶意代码

前言
恶意代码分析是安全从业人员非常重要的一个技能。
之前提到过SSDT hook隐藏和PEB断链隐藏，今天接触一下其他的。
参考书籍:<<恶意代码分析实战>>
Lab13-1
这里先运行一下，可以看到对一个网站的请求。

文章插图

然后用IDA查看，没有看到这个域名相关的信息。
【PC端恶意代码隐藏手段对抗】

文章插图

看到这里抽取资源文件，并对资源文件进行了异或操作。

文章插图

文章插图

文章插图

这里我们对资源文件提取，进行异或操作，可以看到域名。

文章插图

文章插图

文章插图

之后再调用了一个函数，获得主机名。

文章插图

这里之后调用一个函数，我们用od看一下这里干了啥。

文章插图

文章插图

可以知道这里进行了base64编码
然后发送请求

文章插图

读取返回内容。
然后进行判断。

文章插图

Lab13-2
用IDA打开。

文章插图

GetTickCount
GetTickCount返回（retrieve）从操作系统启动所经过（elapsed）的毫秒数，它的返回值是Dword 。
函数解除锁定的内存块，使指向该内存块的指针无效
GlobalFree
释放指定的全局内存块
GetSystemMetries
通过设置不同的标识符就可以获取系统分辨率、窗体显示区域的宽度和高度、滚动条的宽度和高度。
GetDesktopwindows
该函数返回桌面窗口的句柄。桌面窗口覆盖整个屏幕。桌面窗口是一个要在其上绘制所有的图标和其他窗口的区域。
该函数检索一指定窗口的客户区域或整个屏幕的显示设备上下文环境的句柄，以后可以在GDI函数中使用该句柄来在设备上下文环境中绘图。

推荐阅读

上一篇：头条文章收益断崖式下跌，真相来了，小白避坑

下一篇：在NAS上部署Dash个人导航页，实现内外网访问，别让NAS吃灰了！