शुरुआती लोगों के लिए वायरल विश्लेषण - हम Virus.Win32.MTV का विश्लेषण करते हैं

अंत में मुझे न केवल मैलवेयर का विश्लेषण करने का समय मिला, बल्कि इस विषय पर एक और लेख लिखने का भी मौका मिला। चलिए शुरू करते हैं। आज हम वायरस का विश्लेषण करेंगे। 2000 में पता लगाया गया ।.W3232.MTV.4608.a। वायरस का पता लगाने की तारीख आपको परेशान नहीं करती है - इस तरह के एक सीमा के भी वायरस का विश्लेषण कभी भी हस्तक्षेप नहीं करेगा। आप इसे vx.netlux.org पर ले सकते हैं।

आवश्यक उपकरण: आपकी पसंद का कोई भी डिस्बैलर या डिबगर।

इसलिए, हमारी परीक्षा फ़ाइल को किसी भी डिस्सेम्बलर या डिबगर में लोड करें। हम विश्लेषण के लिए एक बहुत अच्छा कोड देखते हैं - कोई पैकेजिंग नहीं, कोई अवरोध नहीं, कोई विरोधी डिबगिंग नहीं - सब कुछ स्पष्ट है। तुरंत लाइन से मारा गया: "कॉपीराइट 1989-2000 बोरलैंड इंक। बोरलैंड C ++ रन-टाइम लाइब्रेरी ”, जो संकलक की भाषा और संस्करण को परिभाषित करता है, जिस पर वायरस लिखा गया था। हम सीधे, सबसे विस्तृत तरीके से इस वायरस की कार्यक्षमता का विश्लेषण शुरू करते हैं। कार्यक्रम निम्न स्थान से शुरू होता है:

00401000> MOV ESI, Virus.004032A8
00401005 एमओवी ईसीएक्स, 2 डी
0040100A> MOV AL, BYTE PTR DS: [ESI]
0040100C XOR AL, 3
0040100E MOV BYTE PTR DS: [ESI], AL
00401010 INC ईएसआई
00401011 ^ LOOPD SHORT Virus.0040100A

यह लूप 0x2D बाइट्स में 0x004032A8 पर स्थित स्ट्रिंग स्थिरांक को आकार में घटाता है। डिक्रिप्शन के बाद, हमें यह मिलता है:

अगला, निम्नलिखित कोड निष्पादित किया जाएगा:

यह देखना आसान है कि प्रोग्राम डिस्क पर अपना स्थान निर्धारित करता है, पढ़ने के लिए अपनी फ़ाइल खोलता है, इसके आकार को पहचानता है और इसे विशेष रूप से आवंटित मेमोरी क्षेत्र में लोड करता है। क्यों? हम आगे समझेंगे। और अब, हम ध्यान दें कि कार्यक्रम के लिए किसी भी प्रतिकूल घटनाओं के मामले में, यह एक संदेश बॉक्स प्रदर्शित करता है और विंडोज को बंद कर देता है:

अब निम्नलिखित जगह पर ध्यान दें:

004010CD CMP EAX, 1200
004010D2 जेई वायरस। 004011D2

यहां, कार्यक्रम निरंतर 0x1200 के साथ अपने भौतिक आकार की तुलना करता है और, इस ऑपरेशन के आधार पर, विभिन्न तरीकों से इसका निष्पादन जारी है। वर्तमान फ़ाइल का आकार भी 0x1200 है। यह माना जा सकता है कि कार्यक्रम का यह उदाहरण वायरस की स्रोत फ़ाइल है, जिसे बाद में पुष्टि की जाएगी। हम देखते हैं कि यदि फ़ाइल का आकार 0x1200 से भिन्न है तो क्या निष्पादित करना है:

सबसे पहले, प्रोग्राम एक अस्थायी फ़ाइल बनाता है, और फिर निम्नलिखित चक्र में कुछ मेमोरी क्षेत्र को डिक्रिप्ट करता है:

00401152> MOV AL, BYTE PTR DS: [ESI]
00401154 XOR AL, 3
00401156 MOV BYTE PTR DS: [ESI], AL
00401158 INC ईएसआई
00401159 ^ LOOPD SHORT Virus.00401152

एन्क्रिप्शन एक साधारण बाइट XOR है। किस मेमोरी क्षेत्र में कार्यक्रम डिक्रिप्ट होता है? यह क्षेत्र एक बफ़र है जिसमें प्रोग्राम ने पहले वर्तमान निष्पादन योग्य फ़ाइल की सामग्री को लिखा था, और डिक्रिप्शन 0x1200 की ऑफसेट के साथ शुरू होता है। आपने अनुमान नहीं लगाया है कि क्या हो रहा है? हम आगे देखते हैं - इसके बाद, प्रोग्राम एक डिक्रिप्ट किए गए डेटा को एक अस्थायी फ़ाइल में लिखता है और निष्पादन के लिए उत्तरार्द्ध को चालू करता है, वर्तमान विद्युत पैरामीटर को पार करता है। अब हम विश्वास के साथ कह सकते हैं कि यह कार्यक्रम निष्पादन योग्य फ़ाइलों को सबसे आदिम तरीके से संक्रमित करता है, उनकी सामग्री को एन्क्रिप्ट करता है और प्राप्त एन्क्रिप्ट किए गए डेटा को अपनी फ़ाइल के ओवरले में डंप करता है, जो संक्रमित प्रोग्राम के बजाय लिखा जाता है। और जब लॉन्च किया जाता है, तो वायरस ओवरले को डिक्रिप्ट करता है, इसे एक अस्थायी फ़ाइल में सहेजता है और निष्पादन के लिए मूल कार्यक्रम लॉन्च करता है। सरल और कॉर्नी।
अब हम जानते हैं कि आगे क्या होता है:

फिर कार्यक्रम एक और धागा शुरू करता है और मूल कार्यक्रम और निर्मित धागे दोनों के पूरा होने की प्रतीक्षा करता है। निर्मित थ्रेड में क्या होता है?

कार्यक्रम यह निर्धारित करता है कि वैश्विक पहचानकर्ता "एमटीवी -2" के अस्तित्व की जांच करके एक वायरस कॉपी पहले से ही सिस्टम में चल रही है या नहीं - यदि यह मौजूद है, तो इसका मतलब है कि वायरस की एक प्रति पहले से ही चल रही है, अन्यथा यह पहचानकर्ता बनाया जाता है, जिसके बाद एक और डेटा फ़ंक्शन कहा जाता है। आइए देखें कि वह क्या करती है:

जैसा कि अपेक्षित था, यह एक डिस्क पर पुनरावर्ती ट्रॉउज़रिंग फ़ोल्डर के लिए एक फ़ंक्शन है जो सभी पाए गए निष्पादन योग्य फ़ाइलों को संक्रमित करता है। मुझे यहां दो बिंदुओं में दिलचस्पी थी। पहला - स्लीप फ़ंक्शन द्वारा WinAPI देरी के कारण फ़ंक्शन केवल 5 सेकंड के बाद अगली फ़ाइल को संसाधित करता है। यह इस प्रकार है कि वायरस बहुत धीरे-धीरे सभी फ़ाइलों के माध्यम से क्रमबद्ध हो जाएगा और कार्यों की सूची में हर समय लटका रहेगा। खैर, निम्नलिखित कोड:

004013C6 PUSH Virus.004032D6
004013CB कॉल JMP। & KERNEL32.GetSystemTime
004013D0 CMP WORD PTR DS: [4032DC], 0D
004013D8 JNZ SHORT Virus_Wi.004013E6
004013DA PUSH Virus.004031A6
004013DF कॉल JMP। & KERNEL32.DeleteFileA

यदि आज किसी महीने का 13 वां दिन है, तो फ़ंक्शन पाया गया सभी फ़ाइलों को हटा देता है ... यह वह जगह है जहां इस वायरस की सभी खराब कार्यक्षमता समाप्त होती है।

निष्कर्ष: आज हमने एक ऐसे वायरस को नष्ट कर दिया है, जिसका उपयोग करना आसान है और लिखने में तेज़ है, जिसके निर्माण के लिए विशेष ज्ञान की आवश्यकता नहीं है और लगभग किसी भी नौसिखिए प्रोग्रामर के लिए संभव है। इसके अलावा, वायरस की कार्यक्षमता भी बेहद खराब है। यह देखा जा सकता है कि प्रोग्रामर को रचनात्मकता के लिए कोई लालसा नहीं थी - सब कुछ एक त्वरित परिणाम के उद्देश्य से था। हालांकि ... मैं बिल्कुल नहीं समझ सकता कि यह वायरस किस उद्देश्य से, सामान्य रूप से है? फिर भी, 10 वर्षों में, मैलवेयर ने इसके विकास में एक बड़ा कदम उठाया है।