一个DDOS木马病毒的分析
1、样本信息
文件名称：803c617e665ff7e0318386e24df63038
文件大小：61KB
病毒名称：DDoS/Nitol.A.1562
MD5：803c617e665ff7e0318386e24df63038
Sha⑴：e05277aafd161470b020e9e8d2aa2dcb9759328c
2、样本行动
0x1.打开与当前病毒进程文件同名的信号互斥量，判断信号互斥量是不是存在，避免病毒行动的2次履行。
0x2.通过注册表"SOFTWAREJiangMin"和"SOFTWARE ising"，判断江民、瑞星杀毒软件的是不是存在。
0x3.创建进程快照，判断360的杀软进程360sd.exe、360rp.exe是不是存在；如果存在，则结束360杀毒的进程360sd.exe和360rp.exe。
0x4.通过注册表"SOFTWAREJiangMin"和"SOFTWARE ising"，判断江民、瑞星杀毒软件是不是存在；如果江民、瑞星的杀软存在，则创建线程在用户桌面的右下角捏造360杀软的弹窗界面迷惑用户。
0x5.创建线程利用IPC入侵用户的主机，种植木马病毒。利用弱口令猜想用户主机的用户名和密码，如果入侵成功则拷贝当前病毒进程文件到用户主机系统中，然后运行病毒文件，创建病毒进程。
如果当前病毒进程IPC入侵用户的局域网的主机系统成功，则拷贝当前病毒进程文件到用户的主机系统中，然后运行病毒文件，创建病毒进程。
0x6.创建线程，在移动装备盘中释放病毒文件anturun.inf，进行病毒的传播。
1.判断遍历的磁盘是不是是移动装备盘，如果是移动装备盘进行病毒文件anturun.inf的释放和病毒的传播。
2.判断遍历的移动装备盘中是不是存在anturun.inf文件夹；如果存在，则将其改名为随机字符组成的文件夹名称；删除原来正常的anturun.inf文件，创建病毒文件anturun.inf。
3.经过整理后，病毒创建的anturun.inf文件。
4.为病毒文件anturun.inf创建履行体病毒程序recycle.{645FF040⑸081⑴01B⑼F08-00AA002F954E}GHOSTBAK.exe即拷贝当前病毒文件，创建病毒文件recycle.{645FF040⑸081⑴01B⑼F08-00AA002F954E}GHOSTBAK.exe并设置该病毒文件的属性为系统、隐藏属性。
0x7.通过注册表HKEY_LOCAL_MACHINESYSTEMCurrentContaRolsetServicesJklmno Qrstuvwx Abc判断病毒服务"Jklmno Qrstuvwx Abc"是不是已存在。
0x8.如果病毒服务"Jklmno Qrstuvwx Abc"不存在，则创建病毒服务，然后启动病毒服务。
1.判断当前病毒进程是不是是运行在"C:WINDOWSsystem32"目录下；如果不是，则拷贝当前病毒进程的文件，创建和释放随机字符组成名称的病毒文件，如"C:WINDOWSsystem32tkkiwk.exe"到"C:WINDOWSsystem32"目录下。
2.使用释放到"C:WINDOWSsystem32"目录下的病毒文件tkkiwk.exe创建病毒服务"Jklmno Qrstuvwx Abc"；如果该病毒服务已存在并且打开病毒服务失败，则删除病毒服务、删除病毒文件本身；如果病毒服务不存在，则启动病毒服务"Jklmno Qrstuvwx Abc"。
3.如果病毒服务"Jklmno Qrstuvwx Abc"启动成功，则将病毒服务的信息写入注册表"HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices "Jklmno Qrstuvwx Abc"的键值对"Description"中。
0x9.如果病毒服务"Jklmno Qrstuvwx Abc"已存在，则启动病毒服务。
1.为服务"Jklmno Qrstuvwx Abc"设置例程处理函数，用于控制服务的状态。
2.设置创建的病毒服务的状态，创建互斥信号量"Jklmno Qrstuvwx Abc"并初始化网络套接字。
0x10.创建线程，主动向病毒作者服务器"zhifan1314.oicp.net"发起网络连接，然后将用户的电脑的信息如操作系统的版本信息、CPU硬件信息、系统内存等信息发送给远程控制的病毒作者的服务器上。
1.主动向病毒作者服务器"zhifan1314.oicp.net"发起网络连接。
2.获得用户的电脑信息如操作系统的版本信息、CPU硬件信息、系统内存等信息，将其发送到病毒作者的服务器网址"zhifan1314.oicp.net"上。
0x11.接受病毒作者的从远程发送来的控制命令，解析远程控制命令进行相干的控制操作，特别是创建很多的网络僵尸线程，致使用户的电脑和系统主机产生”谢绝服务”的行动。
1.控制命令1-"2"，创建很多网络连接操作的僵尸线程，IP地址为"zhifan1314.oicp.net"。
2.控制命令2-"3"，创建阅读器进程"C:windowssystem32Program FilesInternet Exploreriexplore.exe"并创建很多发送Http网络要求的网络僵尸线程，IP地址为"zhifan1314.oicp.net"。
3.控制命令3-"4"，创建很多网络操作的僵尸线程，IP地址为"zhifan1314.oicp.net"。
4.控制命令4-"6"，通过互斥信号量"LRscKSQhdHZ0d2EiHCYzYSEoN21rendsQw=="判断病毒行动是不是已履行；如果已履行，则删除病毒服务"Jklmno Qrstuvwx Abc"并删除病毒服务创建的注册表"HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices "Jklmno Qrstuvwx Abc"。
5.控制命令5-"16"、"17"，从指定网址下载病毒文件到系统临时文件目录下，然后运行病毒文件，创建病毒进程。
6.控制命令6-"18"，如果互斥信号量"Jklmno Qrstuvwx Abc"已存在，则释放信号互斥量"Jklmno Qrstuvwx Abc"；从指定网址下载病毒文件到系统临时文件目录下，然后运行病毒文件，创建病毒进程；如果病毒服务"Jklmno Qrstuvwx Abc"已存在，则删除病毒服务"Jklmno Qrstuvwx Abc"，结束当前进程。
7.控制命令6-"19"，为当前病毒进程，运行iexplore.exe程序，创建IE进程。
8.控制命令6-"20"，为桌面窗口，创建iexplore.exe进程。
0x12.死循环，创建无穷的线程-用以创建网络僵尸线程和接受病毒作者的远程控制，具体的行动上面已分析的很详细了（不重复），只不过这次病毒进程主动连接的病毒作者的服务器IP 地址是104.107.207.189:8749。
病毒行动总结-文字版：
0x1.打开与当前病毒进程文件同名的信号互斥量，判断信号互斥量是不是存在，避免病毒行动的2次履行。
0x2.通过注册表"SOFTWAREJiangMin"和"SOFTWARE ising"，判断江民、瑞星杀毒软件的是不是存在。
0x3.创建进程快照，判断360的杀软进程360sd.exe、360rp.exe是不是存在；如果存在，则结束360杀毒的进程360sd.exe和360rp.exe。
0x4.通过注册表"SOFTWAREJiangMin"和"SOFTWARE ising"，判断江民、瑞星杀毒软件是不是存在；如果江民、瑞星的杀软存在，则创建线程在用户桌面的右下角捏造360杀软的弹窗界面迷惑用户。
0x5.创建线程利用IPC入侵用户的主机，种植木马病毒。利用弱口令猜想用户主机的用户名和密码，如果入侵成功则拷贝当前病毒进程文件到用户主机系统中，然后运行病毒文件，创建病毒进程。
0x6.创建线程，在移动装备盘中释放病毒文件anturun.inf，进行病毒的传播。
1.判断遍历的磁盘是不是是移动装备盘，如果是移动装备盘进行病毒文件anturun.inf的释放和病毒的传播。
2.判断遍历的移动装备盘中是不是存在anturun.inf文件夹；如果存在，则将其改名为随机字符组成的文件夹名称；删除原来正常的anturun.inf文件，创建病毒文件anturun.inf。
3.为病毒文件anturun.inf创建履行体病毒程序recycle.{645FF040⑸081⑴01B⑼F08-00AA002F954E}GHOSTBAK.exe即拷贝当前病毒文件，创建病毒文件recycle.{645FF040⑸081⑴01B⑼F08-00AA002F954E}GHOSTBAK.exe并设置该病毒文件的属性为系统、隐藏属性。
0x7.通过注册表HKEY_LOCAL_MACHINESYSTEMCurrentContaRolsetServicesJklmno Qrstuvwx Abc判断病毒服务"Jklmno Qrstuvwx Abc"是不是已存在。
0x8.如果病毒服务"Jklmno Qrstuvwx Abc"不存在，则创建病毒服务，然后启动病毒服务。
1.判断当前病毒进程是不是是运行在"C:WINDOWSsystem32"目录下；如果不是，则拷贝当前病毒进程的文件，创建和释放随机字符组成名称的病毒文件，如"C:WINDOWSsystem32tkkiwk.exe"到"C:WINDOWSsystem32"目录下。
2.使用释放到"C:WINDOWSsystem32"目录下的病毒文件tkkiwk.exe创建病毒服务"Jklmno Qrstuvwx Abc"；如果该病毒服务已存在并且打开病毒服务失败，则删除病毒服务、删除病毒文件本身；如果病毒服务不存在，则启动病毒服务"Jklmno Qrstuvwx Abc"
3.如果病毒服务"Jklmno Qrstuvwx Abc"启动成功，则将病毒服务的信息写入注册表"HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices "Jklmno Qrstuvwx Abc"的键值对"Description"中。
0x9.如果病毒服务"Jklmno Qrstuvwx Abc"已存在，则启动病毒服务。
1.为服务"Jklmno Qrstuvwx Abc"设置例程处理函数，用于控制服务的状态。
2.设置创建的病毒服务的状态，创建互斥信号量"Jklmno Qrstuvwx Abc"并初始化网络套接字。
0x10.创建线程，主动向病毒作者服务器"zhifan1314.oicp.net"发起网络连接，然后将用户的电脑的信息如操作系统的版本信息、CPU硬件信息、系统内存等信息发送给远程控制的病毒作者的服务器上。
1.主动向病毒作者服务器"zhifan1314.oicp.net"发起网络连接。
2.获得用户的电脑信息如操作系统的版本信息、CPU硬件信息、系统内存等信息，将其发送到病毒作者的服务器网址"zhifan1314.oicp.net"上。
0x11.接受病毒作者的从远程发送来的控制命令，解析远程控制命令进行相干的控制操作，特别是创建很多的网络僵尸线程，致使用户的电脑和系统主机产生”谢绝服务”的行动。
1.控制命令1-"2"，创建很多网络连接操作的僵尸线程，IP地址为"zhifan1314.oicp.net"。
2.控制命令2-"3"，创建阅读器进程"C:windowssystem32Program FilesInternet Exploreriexplore.exe"并创建很多发送Http网络要求的网络僵尸线程，IP地址为"zhifan1314.oicp.net"。
3.控制命令3-"4"，创建很多网络操作的僵尸线程，IP地址为"zhifan1314.oicp.net"。
4.控制命令4-"6"，通过互斥信号"LRscKSQhdHZ0d2EiHCYzYSEoN21rendsQw=="判断病毒行动是不是已履行；如果已履行，则删除病毒服务"Jklmno Qrstuvwx Abc"并删除病毒服务创建的注册表"HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices "Jklmno Qrstuvwx Abc"。
5.控制命令5-"16"、"17"，从指定网址下载病毒文件到系统临时文件目录下，然后运行病毒文件，创建病毒进程。
6.控制命令6-"18"，如果互斥信号量"Jklmno Qrstuvwx Abc"已存在，则释放信号互斥量"Jklmno Qrstuvwx Abc"；从指定网址下载病毒文件到系统临时文件目录下，然后运行病毒文件，创建病毒进程；如果病毒服务"Jklmno Qrstuvwx Abc"已存在，则删除病毒服务"Jklmno Qrstuvwx Abc"，结束当前进程。
7.控制命令6-"19"，为当前病毒进程，运行iexplore.exe程序，创建IE进程。
8.控制命令6-"20"，为桌面窗口，创建iexplore.exe进程。
0x12.死循环，创建无穷的线程-用以创建网络僵尸线程和接受病毒作者的远程控制，具体的行动上面已分析的很详细了（不重复），只不过这次病毒进程主动连接的病毒作者的服务器IP 地址是104.107.207.189:8749。