通过命令行参数启动的后门病毒

在恶意代码分析过程中，关注的重点是恶意代码的整体行为机制和运行逻辑，但是现在由于我们对底层实现逻辑还不太清楚所以花费了大量的时间在具体实现上，要在积累的前提下大胆猜测小心求证。今天我们换一种分析方式，先通过基础静态分析大致猜测恶意代码行为然后再具体分析具体的实现机制。

一. 注册表行为

在恶意代码当中通过注册表实现自启动是一种常见的驻留机制，是否存在注册表有关行为我们可以通过查看导入函数表来判断。
常见的注册表有关函数有：

1. RegCreateKeyEx()//创建注册表键值
2. RegSetValueEx()//写入注册表键值
3. RegDeleteValue()//删除注册表键值
4. RegOpenKeyEx()//打开注册表内容
5. RegQueryValueEx()//访问注册表内容

在该恶意代码样本当中可以看到：

二. 命令行有关行为

命令行的行为直接通过导入函数和字符串不太容易看出，但是有以下几个地方可以帮助我们分析：

1. 双击运行程序后程序会自动删除。
2. 在分析main函数的时候发现有大量的命令行参数比较操作。

这里先介绍一些有关命令行参数的基础知识：
main参数主要关注的是argc(命令行参数个数)，argvargc-1
argv[0] 存储程序的名称，argv[1] 是一个指向第一个命令行参数的指针，*argv[n] 是最后一个参数。如果没有提供任何参数，argc 将为 1，否则，如果传递了一个参数，argc 将被设置为 2。

1. 参数一为-in时为安装服务
2. 参数一为-re时为卸载服务
3. 参数一为-c时配置注册表
4. 参数一为-cc时打印注册表配置
5. 命令行参数最后一个必须为abcd否则直接退出自动卸载程序。

三. 服务有关操作

在Windows系统当中服务是什么？

Windows服务可视为没有界面的普通应用程序，无需用户干预即可启动和停止。它们是 Windows 操作系统所必需的，用于创建和执行需要长时间运行的进程，以执行不同的任务。

因为服务的特殊性，在恶意代码当中经常通过创建服务来实现其功能。
服务有关api函数

1. OpenSCManagerA()//打开服务控制管理器
2. CreateService()//创建一个服务
   

   

四. 后门操作

后门当中最常见的就是通过send等一系列网络有关函数实现，这个程序当中可以看到很多的有关网络的函数，显然应该是存在后门。

热门相关：我的治愈系游戏   拒嫁豪门，前妻太抢手   异世修真邪君   今天也没变成玩偶呢   大妆