Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
C:\>rundll32.exerip.dll,Install
Malwaremożemiećrównieżfunkcje,któresąeksportowanewedługnumerupo-
rządkowego,coomówiliśmyszczegółowowrozdziale1.Wtakimprzypadkunadal
możemywywoływaćtefunkcjezapomocąprogramurundll32.exe,używającponiż-
szegopolecenia,gdzie5tonumerporządkowy
,którychcemywywołać,poprzedzony
znakiem#:
C:\>rundll32.exexyzzy.dllj#5
PonieważzłośliwebibliotekiDLLczęstouruchamiająwiększośćswojegokodu
wDllMain(wywoływanejzpunktuwejściaDLL),aDllMainjesturuchamianyzakaż-
dymrazem,gdyładowanyjestDLL,informacjedynamicznieczęstomożnauzyskać,
zmuszającbibliotekęDLLdozaładowaniazapomocąrundll32.exe.Alternatywniemo-
żemynawetzmienićbibliotekęDLLwplikwykonywalny
,modyfikującnagłówekPE
izmieniającjegorozszerzenie,abyzmusićsystemWindowsdozaładowaniabiblioteki
DLLtak,jakbybyłaonaplikiemwykonywalnym.
AbyzmodyfikowaćnagłówekPE,należywyczyścićflagęIMAGE_FILE_DLL(0x2000)
zpolaCharasteristicswIMAGE_FILE_HEADER.Chociażtazmiananieuruchomiżadnych
zaimportowanychfunkcji,touruchomimetodęDllMainimożespowodowaćnieocze-
kiwanezawieszenielubzakończeniedziałaniazłośliwegooprogramowania.Jednak
dopókiwprowadzonezmianybędąpowodować,żezłośliweoprogramowaniebędzie
wykonywaćswojeszkodliwedziałania,amybędziemymoglizbieraćinformacjedo
analizy
,resztaniemaznaczenia.
ZłośliweDLLmożetakżewymagaćinstalacjijakousługi,czasemzdodatkowym
eksportem,takimjakInstallService,jakwprzypadkuipr32x.dll:
C:\>rundll32ipr32x.dll,InstallServiceNazwaUsługi
C:\>netstartNazwaUsługi
Abymożnabyłozainstalowaćiuruchomićmalware,musimuzostaćpodanyar-
gumentNazwaUsługi.Polecenienetstartsłużydouruchamianiausługiwsystemie
Windows.
UWAGAGdyzobaczymyfunkcjęServiceMainbezdodatkowejeksportowanejfunkcji,takiejjakInstalllub
InstallService,koniecznemożebyćręcznezainstalowanieusługi.Możnatozrobićzapomocą
poleceniascsystemuWindowslubmodyfikującrejestrnieużywanejusługi,anastępnieużywając
polecenianetstartdlatejusługi.WpisyusługiznajdująsięwrejestrzewHKLM\SYSTEM\Current-
ControlSet\Services.
MonitorowaniezapomocąProcessMonitora
ProcessMonitor(lubprocmon)tozaawansowanenarzędziedomonitorowaniadlasys-
temuWindows,któreumożliwiamonitorowanieniektórychdziałańzwiązanychzreje-
strem,systememplików,siecią,procesamiiwątkami.Łączyirozszerzafunkcjonalność
dwóchstarszychnarzędzi:FileMoniRegMon.
Chociażprocmonprzechwytujewieledanych,niejestwstanieprzechwy-
cićichwszystkich.Naprzykładmożepominąćaktywnościsterownikaurządzenia
Podstawowaanalizadynamiczna
43
