恶意代码分析实例

《恶意代码分析实例》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、恶意代码实例分析2011年5月31目录1虚拟环境及所用软件介绍11.1虚拟环境介绍11.1.1VmwareWorkstation7.1.411.1.2GostXPSP3装机版YN9.911.2检查软件介绍11.2.1ATool1.0.1.011.2.2Regmon7.04汉化版11.2.3FileMon7.04汉化版11.2.4TCPView3.0421.2.5procexp.exe21.2.6IceSword1.22中文版22木马冰河分析与检测32.1木马冰河V2.2介绍32.2样本分析32.2.1进程监测32.2.2文件监测32.2.3注册表监测42.2.4系统通信端口监测42

2、.3样本外部特征总结52.4木马清除方法53xueranwyt.exe木马分析与监测63.1木马xueranwyt.exe介绍63.2样本分析63.2.1进程监测63.2.2文件监测63.2.3注册表监控73.2.4端口监测73.3样本外部特征总结73.4解决方案842.exe木马分析与监测94.1木马样本2.exe介绍94.2样本分析94.2.1进程监控94.2.2文件监控94.2.3注册表监控104.2.4端口检测104.3样本外部特征总结114.4解决方案11315红蜘蛛样本分析与检测125.1样本介绍125.2样本分析125.2.1进程检测125.2.2文件检测125.2.

3、3注册表监控135.2.4端口监控135.3样本外部特征总结135.4解决方案136031gangsir.ch.exe样本分析146.1样本介绍146.2样本分析146.2.1进程监控146.2.2文件监控146.2.3注册表监控156.2.4端口监控156.3样本特征总结156.4解决方案167015gangsir.CN.exe样本监测与分析177.1样本简介177.2样本分析177.2.1进程监控177.2.2文件监控177.2.3注册表监控187.2.4端口监控187.3样本外部特征总结187.4解决方案198027gangsir.CN.exe样本监测与分析208.1样本信息

4、介绍208.2样本分析208.2.1进程监控208.2.2文件监控208.2.3注册表监控208.2.4端口监控218.3样本外部特征总结218.4解决方案229050gangsir.CN.exe样本分析与监测239.1样本简介239.2样本分析23319.2.1进程监控239.2.2文件监控239.2.3注册表监控249.2.4端口监控249.3样本外部特征总结249.4解决方案24102510.1样本简介2510.2样本分析2510.2.1进程监控2510.2.2文件监控2510.2.3注册表监控2610.2.4端口监控2610.3样本外部特征总结2610.4解决方案2711N

5、etThief12.9样本分析与检测2811.1样本简介2811.2样本分析2811.2.1进程监控2811.2.2文件监控2811.2.3注册表监控2811.2.4端口监控2911.3样本外部特征总结2911.4解决方案29311虚拟环境及所用软件介绍1.1虚拟环境介绍1.1.1VmwareWorkstation7.1.4恶意代码具有很强的破坏性和传播性，为了系统的安全，所以实例的分析均在虚拟机下进行。所用虚拟机版本为VmwareWorkstation7.1.4。1.1.2GostXPSP3装机版YN9.9所用操作系统为WindowsXPSP3，并打了微软发布的补丁。其他的Win

6、dows环境哪?Vista，Windows7、Windows2008？1.2检查软件介绍1.2.1ATool1.0.1.0ATool是安天实验室开发的一款安全管理工具集，包含了多款实用的系统工具，能够实现用户对系统的安全管理，同时针对系统中的木马、后门、黑客工具等恶意程序进行检测并辅助用户进行处理。ATool专门提供了分析模块，能够实现基于条件加权的未知木马检测体制，对系统中端口、进程、服务、启动项、插件等内容进行严格的行为判断和特征分析，形成对每个文件的受信状态判定。给出公司或（和）软件下载的URL1.2.2Regmon7.04汉化版Regmon是一款出色的注册表数据监视软件，它

7、将与注册表数据相关的一切操作(如读取、修改、出错信息等)全部记录下来供用户参考，并允许用户对记录的信息进行保存、过滤、查找等处理。给出公司或（和）软件下载的URL311.2.3FileMon7.04汉化版Filemon是一款出色的文件系统监视软件，它可以监视应用程序进行的文件读写操作。它将所有与文件一切相关操作（如读取、修改、出错信息等）全部记录下来以供用户参考，并允许用户对记录的信息进行保存、过滤、查找等处理。给出公司或（和）软件下载的URL1.2.4TCPView