基于回调和PEB的木马逆向分析
内容提要
本文分析了一种恶意DLL加载技术，利用合法软件执行恶意代码。通过回调机制和内存保护修改，恶意代码得以运行。研究发现，恶意DLL通过篡改加载顺序实现木马功能，并采用反沙箱检测。最终，利用回调函数触发恶意代码执行，展示了API哈希匹配和内存管理的复杂性。
关键要点
-
本文分析了一种恶意DLL加载技术，利用合法软件执行恶意代码。
-
恶意代码通过回调机制和内存保护修改得以运行。
-
恶意DLL通过篡改加载顺序实现木马功能，并采用反沙箱检测。
-
使用VirtualAllocExNuma分配内存空间，使用VirtualProtect修改内存保护为PAGE_EXECUTE_READWRITE。
-
通过API哈希匹配技术判断对应的函数，shellcode加密为IPv4地址。
-
分析发现drstat.dll是恶意DLL，程序通过篡改DLL加载顺序加载恶意代码。
-
使用动态和静态分析工具（如IDA和xdbg）分析DLL文件。
-
程序通过LoadLibrary和GetProcAddress函数载入相关函数，规避检测。
-
shellcode经过加密存储，需解密后才能执行，使用异或解密方法。
-
最终通过EnumCalendarInfoA函数注册回调函数，触发恶意代码执行。
-
回调函数遍历日历系统，触发恶意代码的执行。
-
本文为独立观点，未经授权禁止转载。
延伸解读
恶意DLL加载技术的复杂性
本文揭示了恶意DLL加载技术的复杂性，特别是通过篡改加载顺序来执行木马功能。这种技术利用合法软件的信任，隐藏了恶意行为，给安全检测带来了挑战。了解这些技术有助于安全研究人员更好地识别和防范潜在威胁。
回调机制的利用
文章中提到的回调机制是恶意代码执行的关键。通过注册回调函数，攻击者能够在特定条件下触发恶意代码的执行。这种方法不仅提高了隐蔽性，还使得检测变得更加困难，提醒我们在软件开发中应加强对回调函数的安全审查。
反沙箱检测的策略
恶意代码采用了反沙箱检测策略，利用正常函数如GetTickCount和Sleep来规避检测。这表明，攻击者不断进化其技术以逃避安全防护，安全团队需要不断更新检测手段，以应对新型的攻击方式。
延伸问答
恶意DLL加载技术是如何工作的？
恶意DLL加载技术通过合法软件加载恶意代码，利用回调机制和内存保护修改来执行恶意代码。
如何通过回调函数触发恶意代码的执行？
通过使用EnumCalendarInfoA函数注册回调函数，回调函数遍历日历系统并触发恶意代码执行。
恶意DLL是如何实现反沙箱检测的？
恶意DLL使用GetTickCount和BeeP等函数进行反沙箱检测，以判断是否在沙箱环境中运行。
shellcode是如何加密和解密的？
shellcode经过加密存储，使用异或解密方法与0x6f进行解密，最终得到可执行的shellcode。
如何分析恶意DLL文件？
可以使用动态和静态分析工具，如IDA和xdbg，分析DLL文件的导出表和函数调用。
恶意DLL是如何篡改加载顺序的？
恶意DLL通过修改程序的导入表，改变DLL的加载顺序，从而实现加载恶意代码。
