恶意代码分析实例.doc

《恶意代码分析实例.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、恶意代码实例分析2011年5月目录1虚拟环境及所用软件介绍11.1虚拟环境介绍11.1.1VmwareWorkstation7.1.411.1.2GostXPSP3装机版YN9.911.2检杳软件介绍11.2.1ATdoI1.0.1.011.2.2Regmon7.04汉化版11.2.3FileMon7.04汉化版21.2.4TCPView3.0421.2.5procexp.exe21.2.6IceSword1.22屮文版22木马冰河分析与检测32.1木马冰河V2.2介绍32.2样本分析32.2.1进程监测32.2.2

2、文件监测32.2.3注册表监测42.2.4系统通信端口监测52.3样木外部特征总结52.4木马清除方法53xueranwyt.exe木马分析与监测73.1木马xueranwyt.exe介绍73.2样本分析73.2.1进程监测73.2.2文件监测73.2.3注册表监控83.2.4端口监测83.3样木外部特征总结83.4解决方案942.exe木马分析与监测104.1木马样本2.exe介绍104.2样本分析104.2.1进程监控104.2.2文件监控104.2.3注丿廿表］监控114.2.4端口检测114.3样木外部特征总

3、结124.4解决方案125红蜘蛛样本分析与检测135.1样木介绍135.2样木分析135.2.1进程检测135.2.2文件检测135.2.3注册表监控145.2.4端口监控145.3样木外部特征总结145.4解决方案156031gangsir.ch.exe样本分析166.1样木介绍16□样木分析166.2.1进程监控166.2.2文件监控166.2.3注册表监控176.2.4端口监控176.3样木特征总结176.4解决方案183015gangsir.CN.exe样本监测与分析197.1样木简介197.2样木分析197

4、.2.1进程监控197.2.2文件监控197.2.3注册表监控207.2.4端口监控207.3样木外部特征总结207.4解决方案214027gangsir.CN.exe样本监测与分析228.1样木信息介绍228.2样木分析228.2.1进程监控228.2.2文件监控228.2.3注册表监控228.2.4端口监控238.3样木外部特征总结238.4解决方案245050gangsir.CN.exe样本分析与监测259.1样木简介259.2样木分析259.2.1进程监控259.2.2文件监控259.2.3注册表监控269.

5、2.4端口监控269.3样木外部特征总结269.4解决方案2662710.1样木简介2710.2样木分析2710.2.1进稈监控2710.2.2文件监控2710.2.3注册表监控28337端口监控2810.3样木外部特征总结2810.4解决方案293NetThief12.9样本分析与检测3011.1样木简介3011.2样木分析3011.2.1进稈监控3011.2.2文件监控3011.2.3注册表监控30325端口监控3111.3样木外部特征总结3111.4解决方案311虚拟环境及所用软件介绍1.1虚拟环境介绍328V

6、mwareWorkstation7.1.4恶意代码具有很强的破坏性和传播性，为了系统的安全，所以实例的分析均在虚拟机下进行。所用虚拟机版本为VmwareWorkstation7.1.4。329GostXPSP3装机版YN9.9所用操作系统为WindowsXPSP3,并打了微软发布的补丁。其他的Windows环境哪？Vista,Windows7.Windows2008?1-2检查软件介绍5ATool1.0.1.0ATool是安天实验室开发的一款安全管理工具集，色含了多款实用的系统工具，能够实现用户对系统的安全管理，同吋

7、针对系统屮的木马、后门、黑客工具等恶意程序进行检测并辅助用户进行处理。ATool专门提供了分析模块，能够实现基于条件加权的未知木马检测体制，对系统屮端口、进程、服务、启动项、插件等内容进行严格的行为判断和特征分析，形成对每个文件的受信状态判定。给出公司或（和）软件下载的URL6Regmon7.04汉化版Regmon是一款出色的注册表数据监视软件，它将与注册表数据相关的一切操作（如读取、修改、岀错信息等）全部记录下来供用户参考，并允许用户对记录的信息进行保存、过滤、查找等处理。给岀公司或（和）软件下载的URL5File

8、Mon7.04汉化版Filemon是一款出色的文件系统监视软件，它可以监视应用程序进行的文件读写操作。它将所有与文件一切相关操作（如读取、修改、出错信息等）全部记录下来以供用户参考，并允许用户对记录的信息进行保存、过滤、查找等处理。给出公司或（和）软件下载的URL6TCPView3.04TCPView是查看端口和线程的。只要木马在内存屮运行，一