记一次持续化隐藏服务的程序分析

本文最后更新于 2025年5月26日上午

当计算机重启后，这个程序如何确保它继续运行(达到持久化驻留) ?

调用了CreatService函数，创建了一个服务，并设置为开机自启动。

分析过程：

==StartServiceCtrlDispatcherA== 函数将服务进程的主线程连接到服务控制管理器，这会导致线程成为调用进程的服务控制调度程序线程。

它的参数是一个结构体类型的指针

这里传入的第一个参数是一个字符串的指针，定义了服务名为MalService，第二个参数，sub_401040是服务要运行的函数的地址。

进入执行的函数，发现有创建服务

函数原型：

SC_HANDLE CreateServiceA(
  SC_HANDLE   hSCManager,         // SCM 句柄，来自之前 OpenSCManagerA 的返回值
  LPCSTR      lpServiceName,      // 服务名称（内部唯一标识），这里是字符串Malservice
  LPCSTR      lpDisplayName,      // 显示名称（用户可见），这里是字符串Malservice
  DWORD       dwDesiredAccess,    // 服务访问权限,这里传入了2，代表完全控制权限，允许对服务进行所有操作
  DWORD       dwServiceType,      // 服务类型。10h代表运行在独立的进程中
  DWORD       dwStartType,        // 启动类型，参数为2，代表系统启动时自动运行该服务，实现持久化
  DWORD       dwErrorControl,     // 错误控制级别，参数为0，服务启动失败时，系统忽略错误（不记录日志，避免引起注意）
  LPCSTR      lpBinaryPathName,   // 可执行文件路径
  LPCSTR      lpLoadOrderGroup,   // 加载顺序组，0，无加载顺序组（服务启动顺序由系统默认管理）
  LPDWORD     lpdwTagId,          // 标签标识符，0，不需要标签标识符（通常用于驱动程序，此处为 NULL）
  LPCSTR      lpDependencies,     // 依赖服务，0代表独立运行
  LPCSTR      lpServiceStartName, // 运行账户，0代表使用最高权限账户
  LPCSTR      lpPassword          // 账户密码，最高权限账户无需密码，为NULL
);

为什么这个程序会使用一个互斥量？

在函数的开始，使用互斥量，判断该服务是否存在；通过互斥体确保程序唯一运行实例，防止多个服务实例同时运行，避免资源冲突、数据竞争等问题导致服务崩溃。

可以用来检测这个程序的基于主机特征是什么？

硬编码的字符串，如HGL345（互斥量的名称）、MalService（运行的服务名称）

检测这个恶意代码的基于网络特征是什么？；这个程序的目的是什么

这里使用Internet Explorer 8.0访问了http://www.malwareanalysisbook.com

这个进程的目的：通过无限循环持续发起HTTP请求，用于对目标URL进行拒绝服务攻击（DoS）或资源耗尽攻击。

该服务函数创建了20个线程，每个线程都无限循环发起http请求且连接不终止，且每次都强制从服务器加载，不使用缓存。

这个程序的目的是什么？

memset(&SystemTime.wMonth, 0, 14);
SystemTime.wYear = 2100;
SystemTimeToFileTime(&SystemTime, &FileTime);
WaitableTimerA = CreateWaitableTimerA(0, 0, 0);
SetWaitableTimer(WaitableTimerA, (const LARGE_INTEGER *)&FileTime, 0, 0, 0, 0);
if ( !WaitForSingleObject(WaitableTimerA, 0xFFFFFFFF) )      # 0xffffffff无限等待该时间触发器
{
  v2 = 20;
  do
  {
    CreateThread(0, 0, StartAddress, 0, 0, 0);
    --v2;
  }
  while ( v2 );
}
Sleep(0xFFFFFFFF);