另类的感染
基本信息
报告名称：Trojan.Exprez分析
报告更新
样本发现
样本类型：
样本文件大小／被感染文件变化长度:变化的
样本文件MD5 校验值：4bd959319d16b8da148762c1a5feabf8
样本文件SHA1 校验值：bb77922763367aeba13a70749bcfb3aa1316551748135206a9f4cbfbfaef4afc
壳信息：无
可能受到威胁的系统：windows
相关漏洞：
已知检测名称： Virus:Win32/Quervar.gen!B(微软)
Trojan-Dropper.Win32.Dorifel.chl（卡巴）
简介
感染.doc .docx .exe 下载恶意软件执行
被感染系统及网络症状
文件系统变化
创建如下文件：
%application data%\Microsoft\[9个随机字符].exe
.doc .docx .exe
注册表变化
［将要／可能］被［创建／修改／删除］的［注册表键／键值］
网络症状
从如下网址下载配置文件：
http://vnk.sk/js/way.php
http://avtoclub.eu/admin/ajax/way.php
http://1nlreality.sk/admin/user/way.php
详细分析／功能介绍
当样本被运行后，会进行如下操作：
1、判断程序的后缀名
如果是dll：
a、创建文件%application data%\Microsoft\ntuser.ini
b、感染.doc .docx .exe （原来的doc docx .exe用rc4加密放到overlay里面，且对于doc docx被拷贝成[原来的名字]xcod.scr 调试时是
[原来的名字].空格xcod.scr）
c、下载配置文件
如果是exe：
有参数
-launcher
a、创建文件%application data%\Microsoft\ntuser.ini
b、感染.doc .docx .exe
c、下载配置文件
d、如果taskmgr.exe 正在运行 则进程退出
-update + 要更新的文件名.exe 且%application data%\Microsoft\下有exe
a、创建%application data%\Microsoft\[9个随机字符].exe 拷贝其到更新的文件路径 （如果更新的文件正在运行，则
先将其关掉）
-update + 要更新的文件名非.exe 且%application data%\Microsoft\下有exe
a、创建%application data%\Microsoft\[9个随机字符].exe 拷贝其到更新的文件路径
-update + 要更新的文件名 且%application data%\Microsoft\下没有exe
什么也不做
没有参数
如果运行在64位下面：
如果%application data%\Microsoft\下有exe 则重新创建一个%application data%\Microsoft\[9个随机字符].exe，并把原来的覆盖掉
如果%application data%\Microsoft\下没有exe 则新创建一个%application data%\Microsoft\[9个随机字符].exe，
c:\Documents and Settings\SRE\Start Menu\Programs\Startup\[9个随机字符].lnk，lnk指向%application data%\Microsoft\[9个随机字符].exe -launcher
运行在32位下面
如果是第一次运行则 创建%application data%\Microsoft\[9个随机字符].exe，Vista：
拷贝到%windir%\WindowsCodecs.dll xp:拷贝到%windir%\xpsp2res.dll
如果不是第一次运行则
如果%application data%\Microsoft\下有exe 则重新创建一个%application data%\Microsoft\[9个随机字符].exe，并把原来的覆盖掉
如果%application data%\Microsoft\下没有exe 则新创建一个%application data%\Microsoft\[9个随机字符].exe，
c:\Documents and Settings\SRE\Start Menu\Programs\Startup\[9个随机字符].lnk，lnk指向%application data%\Microsoft\[9个随机字符].exe -launcher
接下来：
如果是被感染的文件 则从overlay里rc4解密除原始文件，原始文件可能是doc docx .exe
是doc docx则用word打开
是.exe 则直接运行
如果是母体 退出
相关服务器信息分析
都是死的 或者是无效的
总结（比较有意思的地方）
1.感染exe，原来的exe用rc4加密放到overlay里面，比较有意思的地方在于病毒会保证感染后的图标和版本信息和原来的一样，主要
用到了如下的api来实现的：
EnumResourceNamesW
BeginUpdateResourceW
FindResourceW
LoadResource
SizeofResource
LockResource
UpdateResourceW
EndUpdateResourceW
2.感染.doc .docx，原来的doc docx用rc4加密放到overlay里面，保证感染后的恶意文件的图标和doc docx的图标一样，也是用上面的api实现，
因为.doc和.docx后缀的是不能运行的，这里用到了rlo(2e 20)进行了字符串反转。
原来的.doc .docx 被拷贝成[原来的名字][\x2e20]xcod.scr 看起来是：
[原来的名字]rcs.docx
其实不止是.doc .docx 病毒作者完全可以感染其他后缀的文件，比如:.txt .pdf 只要保证感染后的图标和后缀对应的图标一致即可
修复 ，写了个程序来修复下，纯属练手，只贴一些关键的，其他的看附件吧：
针对doc .doc的特殊判断：
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
