3.资源里加个混淆

目录

1.简单的混淆代码

2.恶意软件资源中释放混淆资源

3.逆向分析

4.参考

简单的混淆代码

在恶意软件分析中，混淆是经常使用的一种手段。恶意软件通过对数据进行混淆，不但给杀毒软件的检测和查杀带来一定的困难，也会给逆向分析者带来一定的阻碍。这里就抛出一个非常简单的砖来说说混淆。我这里简单的写了一个程序，输入想要混淆的文件名就会在同目录下生成名为shellcode的混淆文件。这里混淆过程其实也非常简单，就是对文件进行读写异或等操作

#include<Windows.h>
#include<stdio.h>
#include<tchar.h>

void __cdecl _tmain(int argc, TCHAR *argv[])
{
    HANDLE hFiler;
    HANDLE hFilew;
    BOOL ifFilesize = FALSE;
    BOOL bErrorFlag = FALSE;
    BOOL Flag = FALSE;
    DWORD buffertoread;
    DWORD dwByteWrite = 0;
    LPVOID lpAddress;
    LARGE_INTEGER FileSize;

    //获取文件句柄
    hFiler = CreateFile(argv[1], GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
    if (hFiler == INVALID_HANDLE_VALUE)
    {
        printf("Unable to open file!");
        return;
    }
    //获取文件大小
    ifFilesize = GetFileSizeEx(hFiler, &FileSize);
    if (ifFilesize == FALSE)
    {
        printf("%d", GetLastError());
    }
    else
    {
        printf("%lld", FileSize.QuadPart);
    }

    //分配一块内存
    lpAddress = VirtualAlloc(NULL, (SIZE_T)FileSize.QuadPart, MEM_COMMIT | MEM_TOP_DOWN, PAGE_READWRITE);
    if (lpAddress == NULL)
    {
        printf("LocalAlloc failed!");
        return;
    }

    //读取文件
    bErrorFlag = ReadFile(hFiler, lpAddress, (DWORD)FileSize.QuadPart, &buffertoread, NULL);
    if (bErrorFlag == FALSE)
    {
        printf("Readfile false:%d", GetLastError());
        return;
    }

    //对数据进行异或，最简单的混淆，可以修改这里来实现更加复杂的混淆
    BYTE *point = lpAddress;
    for (int i = 0; i < (int)FileSize.QuadPart; i++)
    {
        (*point) ^= 0x99;
        point++;
    }

    //在同目录下生成一个名为shellcode的文件
    hFilew = CreateFile(L"shellcode", GENERIC_WRITE, 0, NULL, CREATE_NEW, FILE_ATTRIBUTE_NORMAL, NULL);
    if (hFilew == INVALID_HANDLE_VALUE)
    {
        printf("Unable to open file");
    }

    //写入混淆后的内容
    Flag = WriteFile(hFilew, lpAddress, (DWORD)FileSize.QuadPart, &dwByteWrite, NULL);
    if (Flag == FALSE)
    {
        printf("Fail to WriteFile");
    }

    return;
}

恶意软件资源中释放混淆代码

上面说到的是混淆的过程，这里就是恶意软件对资源混淆后是如何进行释放的。这里释放资源和第二课释放资源类似，不过由于资源混淆了，所以多了一步解密资源的过程。由于资源在PE中为只读数据，所以获取到指向资源的指针后不能像第二课那样直接进行解密，需要复制到内存中再进行解密。还有就是我们之前加混淆是异或0x99，所以解密也是通过异或0x99（这里可以不懂可以看一下关于异或的知识）。

#include<Windows.h>
#include<stdio.h>

#include"resource.h"    //要包含资源文件的头文件

int main()
{
    HRSRC Shellcode;
    HGLOBAL Loadshellcode;
    HANDLE hFile;
    DWORD ShellcodeSize;
    DWORD dwByteWrite = 0;
    LPVOID Lockshellcode;
    LPVOID lpAddress;
    BOOL Flag = FALSE;

    //找到资源
    Shellcode = FindResource(NULL, MAKEINTRESOURCE(IDR_SHELLCODE1), TEXT("Shellcode"));
    if (Shellcode == NULL)
    {
        printf("Could not locate dialog box.");
        return 0;
    }

    //加载资源
    Loadshellcode = LoadResource(NULL, Shellcode);
    if (Loadshellcode == NULL)
    {
        printf("Could not lock dialog box.");
        return 0;
    }

    //获取指向资源的指针
    Lockshellcode = LockResource(Loadshellcode);
    if (Lockshellcode == NULL)
    {
        printf("Could not lock dialog box.");
        return 0;
    }

    //获取资源大小，用于下面写文件
    ShellcodeSize = SizeofResource(NULL, Shellcode);

    //资源处为只读数据不能直接进行解密，需要复制到内存空间中才可以进行解密
    lpAddress = VirtualAlloc(NULL, (SIZE_T)ShellcodeSize, MEM_COMMIT | MEM_TOP_DOWN, PAGE_READWRITE);
    if (lpAddress == NULL)
    {
    printf("LocalAlloc failed!");
    return 0;
    }

    //复制资源到内存空间
    memcpy(lpAddress, Lockshellcode, (size_t)ShellcodeSize);

    //解密出shellcode
    byte *point = lpAddress;
    for (int i = 0; i < (int)ShellcodeSize; i++)
    {
        (*point) ^= 0x99;
        point++;
    }

    //创建文件
    hFile = CreateFile(L"PE", GENERIC_WRITE, 0, NULL, CREATE_NEW, FILE_ATTRIBUTE_NORMAL, NULL);
    if (hFile == INVALID_HANDLE_VALUE)
    {
        printf("Unable to open file");
    }

    //写入文件
    Flag = WriteFile(hFile, lpAddress, ShellcodeSize, &dwByteWrite, NULL);
    if (Flag == FALSE)
    {
        printf("Fail to WriteFile");
    }

    return 0;
}

 

 逆向分析

逆向分析时，如果资源经过混淆，我们用resourse hacker提取出来是混淆后的数据，如果再写一个解密程序进行解密是非常耗时间的(可以通过逆向恶意程序解密资源的过程来编写解密程序)。由于恶意程序最终需要的也是解密后的数据，所以我们可以通过OD跟踪恶意程序解密出资源数据后，再转存解密后的数据。如何确定那个地方是数据解密后呢？我们从上面释放资源的程序中看出，由于需要解密一块数据，所以会进入一个循环对数据进行解密。当循环结束时，我们就可以认为数据解密完成。在平时的恶意软件分析中，数据解密也会进入循环中，有经验的逆向分析者可能一眼就看出数据解密的地方。对初学者来说多分析多调试，也会很快会找到其中的规律

 

参考

文件读写：https://docs.microsoft.com/zh-cn/windows/desktop/FileIO/opening-a-file-for-reading-or-writing

获取文件大小：https://docs.microsoft.com/en-us/windows/desktop/api/fileapi/nf-fileapi-getfilesize

内存操作：https://docs.microsoft.com/zh-cn/windows/desktop/Memory/reserving-and-committing-memory