第八章 熊猫烧香病毒的逆向分析.pdfVIP

熊猫烧香病毒的逆向分析 软件学院 王冬琦 熊猫烧香病毒简介 • 2007年引起全国关注的一系列新闻 熊猫烧香病毒简介 • 熊猫烧香病毒会伪装成Spcolsv.exe进程。 • Spcolsv.exe是Print Spooler 的进程，管理所有 本地和网络打印队列及控制所有打印工作。 如果此服务被停用，本地计算机上的打印 将不可用。该进程属Windows 系统服务。 逆向分析过程 • 思路：了解病毒发作的表现尝试理解IDA 解析的结果清晰病毒程序的组成结构 给出病毒的工作流程图及核心函数分析报 告 逆向分析过程 • 没有源程序的情况下，首先考虑目标程序 的类型 首先使用Peid软件分析目标程序 可知目标程序是用Borland Delphi6.0-7.0编译，其余VC++ 的区别在于函数调用方式和字 符串处理，Delphi默认使用register传递函数的参数 逆向分析过程 • 程序入口地址： 有意义的内容从这里开始 分析确定sub_403C98 函数的功能，并重命 名之 分析确定sub_405360 函数的功能，并重命 名之 分析确定sub_404018函 数的功能，并重命名之 逆向分析过程 • 病毒验证和启动部分 三个函数调用，分析他们的功能并根 据功能特点重新命名 sub_4082F8—复制自身，传染文件并运行 sub_40CFB4—传染其他文件 sub_40CED4—设置注册表，停止杀毒软件 作业要求 • 2-3小组任意组合一个team ，按程序功能模 块自行讨论并分解、分配任务，以组为单 位完成各自分工部分的逆向分析报告 • 大作业中除体现个人所在小组完成的工作 之外，还要说明每位同学自己的工作重点 和完成情况。