一马调试分析之上篇(Droper分析)(调试版块处女贴)
偶然得到一样本，小弟调了下，于是就有了小弟在调试版块这篇处女贴。
分析结果如下：
首先这个样本花指令挺多，效果还挺好，IDA及OD都被花了啊！
总结了下花指令如下，别看简单，其实效果真挺好！
结构类型一：
jle ---------┓
... ┃
... ┃
jg -----┓ ┃
┃ ┃
垃圾 ┃ ┃
┏-- jb效果更好 ┃ ┃
┃ ←--┸--┛
┗--------------→
jb ---------┓
... ┃
... ┃
jnb -----┓ ┃
┃ ┃
垃圾 ┃ ┃
┃ ┃
←----┸--┛
js ---------┓
... ┃
... ┃
jns -----┓ ┃
┃ ┃
垃圾 ┃ ┃
┃ ┃
←-----┸-┛
jp ---------┓
... ┃
... ┃
jnp -----┓ ┃
┃ ┃
垃圾 ┃ ┃
┃ ┃
←----┸--┛
┏------→
┃
┗--------jbe
jo ---------┓
... ┃
... ┃
jno -----┓ ┃
┃ ┃
垃圾 ┃ ┃
┃ ┃
←----┸--┛
jle ---------┓
... ┃
... ┃
jg -----┓ ┃
┃ ┃
垃圾 ┃ ┃
┏-- 用enter效果也很好哦
┃ ←--┸--┛
┗--------------→
小结在这种类型的花指令中再混合jb,enter,out效果挺好。
结构类型二：
push r
.....
.....
pop r
结构2，没什么效果，主要是结构类型1，效果明显。
我们来总览下这个Droper的情况如下图所示：
好了开始分析吧，Droper没什么特别的，主要是花指令问题。
第一部分：setup.exe分析如下：
一点亮点：
往释放后的PE文件尾写入0x100个字节随机数，从而每次MD5值不同，实现每次都不同，为什么这么干？不解释，你懂的！
木马的主流程操作如下：
1、解密字符串；
2、判断IE浏览器的主页是否为about:blank或者是baidu.com或者是hao123.com、以此决定下载文件的网址(注册表查询HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main (Start Page))
3、写入选择的网址的索引号，HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\DateTime (Index)。
4、释放木马并运行，共释放3个文件，木马，两个用于清理的BAT文件。(运行调用的WINEXEC执行)。
5、检查驱动是否安装完毕。(CreateFile)
5-1、如果驱动安装完毕，判断操作系统是否非WIN7。
5-1-1、如果非WIN7，则从前面选择的网址进行下载。(看来小马无法支持WIN7的远程下载啊)
解密的字符串如下图所示：
主流程：
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
