cve-2012-0158 APT病毒分析报告

样本信息

病毒名称：cve-2012-0158 APT病毒
所属家族：APT木马后门
MD5值：52E3DDB2349A26BB2F6AE66880A6130C
SHA1值：52E3DDB2349A26BB2F6AE66880A6130C
CRC32：7D21F812
病毒行为：感染主机，留下后门，允许远程操控

测试环境及工具

测试环境为虚拟机win7专业版
所使用到的工具：火绒剑，Pchunter，od，ida

主要行为

运行带病毒的Word文档后，会在临时目录释放hkcmd.exe，原本的DOC文件，并运行hkcmd.exe。

Hkcmd文件运行后，会释放datac1en.dll文件到系统目录

并对注册表设置了相关的值

运行完毕之后，会结束自身进程，销毁自身文件

恶意代码分析

首先定位到缓冲区溢出地方

字节长度为8181，可见利用了缓冲区溢出漏洞实现ShellCode的执行
查看shellcode代码

创建文件，内存映射，申请内存，写入pe文件数据，然后写出到文件。
完成hkcmd文件的写出与原本的doc文件写出。

最后运行hkcmd.exe文件，打开原本的doc文档。

接下来就是hkcmd.exe文件的执行，Hkcmd文件运行后，会释放datac1en.dll文件到系统目录，然后设置注册表项，注册为系统服务

运行完毕之后，会结束自身进程，销毁自身文件

现在需要分析一下datac1en.dll文件。
使用IDA分析，直接F5反编译一下源码

可以看到调用了许多有关注册表的函数，十分可疑。
在部分函数内部，可以看到获取有关网页通讯的API操作

可以猜测是与网页操作有关的

并且部分明文经过了加密
经过大概分析，有一个函数比较可疑，里面有不同的操作，通过判断nType的值进行

里面囊括了创建结束进程，线程，遍历文件，驱动器，与远程通讯等操作。
可以猜测这个dll文件是注册到系统服务的，然后后台一直与远程进行通讯，可以根据远程发送的名称，进行对应的操作。

提取病毒的特征，利用杀毒软件查杀

可以通过查找字节码特征，使用杀毒软件查杀。

手工查杀步骤或是工具查杀步骤或是查杀思路等

进入安全模式，删除系统目录下datac1en.dll文件，临时目录的hkcmd.exe与datac1en.dll文件。
删除注册表键值