mm木马分析

0x00 样本信息

• 文件名称：mm.exe

• MD5：37eec1a29d316ed1e5e766b599dc32a1

• SHA-1：75f098d6b3f217aba4c068b12896c332216fc6b3

• Authentihash：1b17d4d13c65fed36321aec54f2dc9b214308bbc82821659f83e445b93d1962e

• Imphash：9e932de2e1e9ccfc4eacc3a16a8c9ab4

• 文件类型：Win32 EXE

• 文件大小：63.08 KB

• 哈勃扫描结果：https://habo.qq.com/file/showdetail?pk=ADIGYV1qB2IIOls1

0x01 主要行为：

1. 劫持系统进程msiexec.exe创建远程线程（将url读入缓冲区修复为一个可以使用的PE文件）

2. 修复改文件夹属性

3. 将自身复制到系统目录下，自删除

4. 设置注册表启动项

0x02 具体分析

• 获取自身文件路径
• 获取系统时间
• 将自身复制到系统目录下，自删除

• 进这个函数
• loadlibrary加载msi.dll后动态解密出来一个jmp继续走
• 拼接路径名创建文件
• 读取完关闭文件仅需进这个新创建的局部变量执行，这块其实是要再进行解密的
• 循环解密后继续跟进
• 继续跟进，有些时候并不能确定这些函数都是干什么的，这时候就需要一次一次的试错试出来了，不要害怕尝试
• 内层有个函数继续跟进 -上面这一块发现是在分区段的修复一个新建的PE文件
• 继续跟进去
• 创建文件
• 往这个地址再考一份PE文件，这个地址不固定每次重新打开都会变（总共拷贝了三份PE文件）
• 继续跟进
• 继续跟进（看到可疑的都进去看一下）
• 创建url文件
• 发现创建了这个系统进程
  重要
• 接下来的操作要注入这个进程，在这里面创建线程执行

• 再往下找一下发现有创建远程线程的地方
• 另开一个OD附加一下msiexec.exe这个进程
• 这里需要修改一下调试设置，接下来调试用（因为接下来createremotethread要在这个进程里面创建新的线程）
• 运行到创建远程线程结束
• 因为我们刚才设置了中断于新线程，所以直接运行（F9）就会断在创建新线程的地方
• 发现这个地方似曾相识
• 没错，这个地方循环解密后就是这个函数入口了，和刚才的入口是一样的
• 继续跟进
• 这里同样是在修复各个区段
• 上面一个函数出来之后继续跟进下一个
  发现这里传进去了一个PE文件进去看一下 这里可以用loadPE（以管理员权限打开）从10000000将这整个文件dump出来，用IDA辅助分析
• 用loadPEdump这样直接从内存中dump出来它的对齐粒度是1000所以要修改一下,改为内存对齐.
• 跟进这里面看一下
• 创建目录>拼接路径
• 设置注册表键值
• 打开网络链接 -跟进函数看一下
• 这里面有上传和下载的函数但是网站已经废了，我们进去就崩溃了

• 我们需要在会崩溃的地方改跳转不去执行
• 跟了一下发现获取主机名的时候会崩溃（所以就改跳转不去执行了）
• 获取电脑名和用户名
• 有些地方实在没办法过去就修改eip直接跳过这个函数
• 建立连接从网站上读取文件
• 给网站发送消息并查看是否返回错误信息
• 检索当前用的磁盘驱动器
• 获取进程信息
• 上传，下载内容
• 写文件
• 关闭其它进程和线程与服务器断开连接