解析メモ

マルウェア解析してみたり解析に役に立ちそうと思ったことをメモする場所。このサイトはGoogle Analyticsを利用しています。

Panda Banker 解析 (1)

www.arbornetworks.com

 

ここで紹介されている検体の解析。

多分 Zeros は Zeus の誤記。

SHA256 : 8db8f6266f6ad9546b2b5386a835baa0cbf5ea5f699f2eb6285ddf401b76ccb7

 

環境:VirtualBox 5.2.8

ゲスト : Windows 7 x64 Pro

 

 

x64dbg と IDA Pro で追うも以下のコードで Access Violation

f:id:k1z3:20180330014459p:plain

 

直接実行すると検体自体はドロップされたバッチファイルにより削除される。

バッチファイルも自身を消す動き。

f:id:k1z3:20180330015114p:plain

 

(空振ってはいるけど)気になるファイルアクセス。

sbiedll.dll をチェックしているのはサンドボックスのチェックのはず。

f:id:k1z3:20180330020309p:plain

 

今のところ通信はない(169.254.50.66 は自アドレス)

f:id:k1z3:20180330020729p:plain

 

Stringsはここが気になる。日本、中国、韓国、台湾のみ独立して書かれている。

f:id:k1z3:20180330021109p:plain