【逆向】Delphi程序逆向之熊猫烧香病毒分析

逗逗谜 發表於 2019-8-15 15:44:00

【逆向】Delphi程序逆向之熊猫烧香病毒分析

<h1>1、前言</h1>
本文主要用于记录Delphi程序逆向的一些方法和技巧，以及熊猫烧香病毒的分析过程。
<h1>2、分析技巧</h1>
2.1 使用IDR或DEDE加载Delphi程序，导出Map文件，将Map文件导入OD。
2.2 IDA加载Delphi程序后，根据实际情况修改编译器选项，ASCII字符串风格，增加代码可读性。
2.3 IDA添加Delphi程序签名文件，识别常用系统函数调用。
2.4 由于IDR对Delphi库函数的识别率比IDA高，动态调试时，可以配合OD/IDA一起使用。
2.5 常用Delphi系统库函数，可以查看Delphi system文件，也可以参考文末参考链接。
2.6 Delphi程序，使用fastcall调用约定，前2个参数使用eax,edx传递，其余参数从左到右依次压栈，堆栈由被调用者恢复。(由于编译器不同，寄存器，压栈顺序可能不同，视具体情况而定)
<div class="cnblogs_code">
<pre>1 004529A9 push dword ptr ds:; //参数3:"Hello"
2 004529AF push 452A18; ' ' //参数4:" "
3 004529B4 push dword ptr ds:; //参数5:"World"
4 004529BA lea eax, //参数1
5 004529BD mov edx,3 //参数2
6 004529C2 call @LStrCatN LStrCatN(lpBuff,3,"Hello"," ","World")</pre>
</div>
<h1>3、分析流程</h1>
<h2>3.1 流程图</h2>
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908201159968-501748467.png" alt="">
<h2>3.2 静态分析</h2>
<h3>3.2.1 分析导入表</h3>
<div class="cnblogs_code">
<pre> 1 文件：
 2 0x0000 "CreateFileA"
 3 0x0000 "WriteFile"
 4 0x0000 "ReadFile"
 5 0x0000 "FindNextFileA"
 6 网络：
 7 0x0000 "socket"
 8 0x0000 "connect"
 9 0x0000 "InternetReadFile"
10 0x0000 "InternetOpenUrlA"
11 服务：
12 0x0000 "OpenServiceA"
13 0x0000 "OpenSCManagerA"
14 0x0000 "DeleteService"
15 0x0000 "ControlService"
16 0x0000 "CloseServiceHandle"
17 进线程：
18 0x0000 "CreateThread"
19 0x0000 "TerminateProcess"
20 0x0000 "WinExec"
21 注册表：
22 0x0000 "RegSetValueExA"
23 0x0000 "RegDeleteValueA"
24 0x0000 "RegCreateKeyExA"
25 其它：
26 0x0000 "SetTimer"
27 0x0000 "NetRemoteTOD"
28 0x0000 "NetScheduleJobAdd"
29 0x0000 "URLDownloadToFileA"
30 0x0000 "OpenProcessToken"
31 0x0000 "LookupPrivilegeValueA"
32 0x0000 "AdjustTokenPrivileges"
33 0x0000 "WNetAddConnection2A"
34 0x0000 "WNetCancelConnectionA"</pre>
</div>
<h2>3.3 动态分析</h2>
<h3>3.3.1 初始化自校验</h3>
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908000223508-157384317.png" alt="">
<h3>3.3.2 主功能模块1：自拷贝，bat自删除</h3>
判断当前路径是否存在ini配置文件，存在则删除
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908002451387-756608059.png" alt="">
如果当前文件未被感染，并且不是"drivers\spcolsv.exe"，则自拷贝并运行
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908003404817-281726107.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908003412204-400232514.png" alt="">
如果是被感染的文件，则从自身释放原文件，创建.bat删除感染文件，运行原文件后自删除
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908004616410-2102292294.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908004623352-617522205.png" alt="">
如果"drivers\spcolsv.exe"正在运行则程序退出，否则删除"drivers\spcolsv.exe"后重新创建，并运行。
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908011336441-101626603.png" alt="">
<h3>3.3.3 主功能模块2：</h3>
递归遍历，感染Exe等文件
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908014244103-2000960040.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908021824941-116394937.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908021622136-542404561.png" alt="">
递归遍历，感染Html等文件
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908014251087-103520945.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908022048088-1131101607.png" alt="">
删除.GHO系统备份文件
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908014209952-1215750610.png" alt="">
在每个文件夹目录下生成ini配置文件，更新当前日期
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908022729153-988447286.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908022736800-523448655.png" alt="">
设置定时器，每6秒执行一次，在磁盘根目录生成setup.exe和autorun.inf文件
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908023958112-1626244202.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908182556457-198376204.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908024007628-1063567956.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908024016444-541046360.png" alt="">
创建线程，通过139，445端口感染局域网主机。
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908185033761-984519971.png" alt="">
自拷贝到网络主机共享目录，创建计划任务执行“GameSetup.exe”
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908190457223-1627355453.png" alt="">
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908190631316-967336190.png" alt="">
<h3>3.3.4 主功能模块3：</h3>
创建定时器，执行不同任务
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908191900702-1258228921.png" alt="">
结束杀软，任务管理器等进程
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908192728285-2126556301.png" alt="">
设置Run注册表自启动
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908193045673-315198281.png" alt="">
设置隐藏文件不显示
 <img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908193429722-1574867867.png" alt="">
解密URL，下载并执行
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908194019842-813666708.png" alt="">
删除共享
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908194252535-371958217.png" alt="">
停止并删除杀软服务
<img src="https://img2018.cnblogs.com/blog/1743055/201909/1743055-20190908194526059-442022731.png" alt="">
 
Delphi常用库函数参考：
https://www.cnblogs.com/Little-Star/p/7541389.html
https://www.pediy.com/kssd/pediy06/pediy6843.htm
样本与调试文件下载：
https://files.cnblogs.com/files/SunsetR/熊猫烧香样本.zip 密码("SunsetBlogs") 
来源：https://www.cnblogs.com/SunsetR/p/11358388.html

頁: [1]

琼殿技术论坛's Archiver

【逆向】Delphi程序逆向之熊猫烧香病毒分析