对一个vbs脚本病毒的病毒原理分析

一、前言

这是一份病毒课上的实战作业分析，面对的是一个经过加密处理的VBS脚本病毒。这里把完整的分析过程和思路梳理出来，希望对同样在研究恶意代码的朋友有所帮助。当然，文中若有疏漏或偏差，欢迎直接留言指正。

二、目录

整个分析流程可以划分为三个主要部分：

0x00 准备工作
0x01 解密部分
0x02 功能分析

三、分析过程

0x00 准备工作

一台Windows XP虚拟机就够用了，当然在自己电脑上操作也完全没问题。另外，手头需要了解VBS的基本语法，便于理解代码逻辑。

0x01 解密部分

右键病毒文件选择编辑打开，或者把后缀名改成txt直接查看。打开后果然是一大段密文，代码开头只调用了一个函数——deCrypt。目前能获得的信息就这些，继续往下翻。

拖到代码底部，发现还有一次deCrypt调用。原来经过了两层加密。先把执行部分注释掉，改成将解密结果输出到文本文件。观察输出结果，编码特征表明用的是base64加密。

第一轮解码后的结果依然无法直接阅读。继续看代码如何处理。

代码里将字符串按“|dz|”分隔，拿到的是ASCII码。把这些ASCII码对应的字符拼接起来，就得到了真正的内容。同样的套路，把解密结果输出到文件继续分析。

这一次输出的才是真正的病毒代码。接下来进入功能分析环节。

0x02 功能分析

从代码开头开始梳理。首先是一些配置信息，包含了一个服务器域名。查了一下，服务器在美国。尝试ping——不通，可能是服务器设置了禁ping，也可能是早已废弃不用，或者是被防火长城拦截了。

接下来是后续会用到的变量定义，这里略过。

再往下是“code start”入口。因为函数之间互相调用，这里按执行顺序给每个调用的函数编了号，方便阅读。

首先调用的是instance函数。

1. instance函数

给usbspreading参数赋值，同时进行注册表写入操作。

instance函数执行完后，进入一个while true的死循环，不断从服务器读取命令并执行。循环内部先调用install过程。

2. install过程

install里面又调用了upstart，继续展开。

2.1 upstart过程

通过注册表将病毒脚本设置为开机自启动。

从upstart返回，继续看install剩下的代码。内容比较多，这里直说功能：扫描所有驱动器，类型号为1时（代表可移动设备）触发动作——显然是为了感染U盘之类的设备。它会将脚本拷贝到移动设备的根目录，设置文件属性为隐藏、系统文件、可读写。然后获取根目录下所有文件，如果文件不是lnk快捷方式，就将其设置为隐藏系统文件、可读写，再创建对应的快捷方式。快捷方式指向cmd.exe，参数是一串精心构造的命令：先启动脚本病毒，再启动真正的文件，最后退出cmd。对根目录下的文件夹同样处理。到此，install过程分析完毕。接下来看post函数。

3. post函数

post的功能是向服务器发送被感染机器的相关信息，并从服务器获取病毒制作者的命令。其中调用了information函数来获取被感染机器的信息。

3.1 information函数

用来获取硬盘序列号、系统相关信息以及电脑上安装的安全软件。

post执行完毕返回后，拿到服务器的命令。接下来是对命令的解析和执行——典型的switch...case...结构。

4. 对各种命令的解析执行

4.1 execute命令

直接执行接收到的命令。

4.2 update命令

从服务器获取数据来更新病毒自身。

4.3 uninstall命令

调用uninstall过程，将病毒之前对注册表的修改恢复，并删除之前复制到其他目录下的病毒脚本。

4.4 send命令

调用download过程从服务器下载文件。

4.5 site-send命令

调用sitedownloader过程，同样是从服务器下载内容，不过这次下载的看起来像是网站源码。

4.6 recv命令

调用upload函数，上传指定的文件。

4.7 enum-driver、enum-faf、enum-process命令

分别调用对应函数，枚举所有驱动器相关信息、指定目录下的文件和文件夹，以及系统进程。

4.8 cmd-shell命令

调用cmdshell函数执行接收到的cmd命令，并将执行结果返回给服务器。

4.9 delete命令

调用deletefaf过程删除指定的文件或文件夹。

4.10 exit-process命令

调用exitprocess结束指定的进程。

4.11 sleep命令

设置脚本的睡眠时间。

到这里，所有命令的解析执行都已梳理完毕。执行完相应命令后，病毒会进入指定的睡眠时间，之后继续从服务器获取下一个命令。

四、总结

复盘这次分析，有几个收获点：

1. 对base64编码有了更具体的认识——实际分析不见得需要掌握实现细节，但至少要会识别和使用。
2. VBS语法的一次实战练习。
3. 通过注册表设置程序自启动的具体手法。
4. 调试技巧：遇到晦涩的代码，把中间结果输出到文件，理解起来快得多。

关于清除病毒，也试验了两种方法：一是直接截取一段密文进行全局搜索，只要包含该字段的vbs文件就删掉。这样做注册表虽未被恢复，但自启动文件已删除，病毒无法运行。二是更彻底的方法——把病毒中uninstall模块单独提取出来调用一次，所有修改就都能恢复干净。

从这次分析可以看出，该病毒通过VBS实现了与服务器通信、修改文件系统、修改注册表等一系列操作。换成其他语言当然也能实现，但VBS几乎每个Windows系统都有解释器，传播门槛低，而且语言本身容易上手——这大概就是病毒作者选择他的原因吧。不同语言各有特点，关键还是看其优势是否与需求契合。