MEMZ是一種定制木馬，它使用高度復(fù)雜且唯一的有效載荷連續(xù)激活，前幾個(gè)有效載荷是無害的，最后一個(gè)有效載荷是您的PC完全無法使用，感染計(jì)算機(jī)后，病毒會(huì)顯示一條消息，通知用戶重啟計(jì)算機(jī)后將無法使用，因?yàn)橛?jì)算機(jī)的MBR分區(qū)會(huì)被MEMZ重寫覆蓋，如果你通過任務(wù)管理器對(duì)其關(guān)閉，你的計(jì)算機(jī)將當(dāng)場(chǎng)藍(lán)屏死機(jī)。
漏洞分析｜中新網(wǎng)安安全實(shí)驗(yàn)室對(duì)MEMZ病毒分析報(bào)告
一、樣本信息 二、病毒影響  三、病毒分析1、行為分析 該病毒對(duì)注冊(cè)表進(jìn)行了操作：  2、靜態(tài)分析 IDA中打開該樣本，打開導(dǎo)入表，紅框內(nèi)為病毒核心函數(shù)：  通過分析得知，該病毒的主要邏輯： 1.獲取系統(tǒng)窗口大??； 2.控制臺(tái)參數(shù)； 3.創(chuàng)建線程； 4.提示消息； 5.覆蓋引導(dǎo)扇區(qū)。 打開start函數(shù)  分析start函數(shù)偽代碼： 該函數(shù)主要功能為設(shè)置病毒窗口大小，并進(jìn)行創(chuàng)建 PhysicalDriver0文件中應(yīng)該儲(chǔ)存的是惡意代碼   病毒運(yùn)行到main程序，輸出提示信息 
病毒提權(quán)部分函數(shù)   可以看到程序提示染上病毒   程序會(huì)開啟很多線程 四、線程分析4.1、隨機(jī)獲取URL并在瀏覽器中打開
  4.2、打開notepad，顯示提示消息  4.3、使鼠標(biāo)失控  4.4、改變屏幕顯示 4.5、枚舉子窗口，窗口變形    4.6、播放聲音 4.7、插入鍵盤鼠標(biāo)事件 4.8、使桌面變色  4.9 提示框消息  五、解決方案1、使用u盤進(jìn)入PE系統(tǒng)，重建MBR分區(qū)，修復(fù)引導(dǎo) 2、不打開未知軟件和郵件 3、及時(shí)更新殺毒軟件 六、參考資料https://malware.wikia.org/zh/wiki/MEMZ http://www.pianshen.com/article/1636845701/ http://tieba.baidu.com/p/5731258395 七、免責(zé)申明本文章僅用于學(xué)習(xí)目的，任何利用此文章提供的信息造成的直接或間接后果及損失，均由使用者本人負(fù)責(zé)，中新網(wǎng)絡(luò)信息安全有限公司及本文作者不為此行為承擔(dān)任何責(zé)任。 |
