基本信息

FileName	FileType	FileSize	packer	MD5
sample4.xls	宏病毒	338 KB	no	3effeba64d9a1a4dd1bddaeb1858e4d0

一，概述

该样本是一个隐藏在xls文件中的宏病毒，运行后其先会在%Temp%目录下释放13.xlsx文件，然后会将其改名为13.xlsx.zip并在%TEMP%目录下解压成oelObject1.bin文件，最后会将oelObject1.bin文件拷贝到%APPDADA%目录下形成exchangeX.dll文件，最后在宏中加载exchangeX.dll文件，实现主机信息上传和数据下载的功能，其服务器地址为https://office-teml-en.com/tw

二，流程图

宏病毒分析

三，技术细节详细分析

初次打开样本时的情形，打开后会发现样本中含有宏，点击启用内容后会出现等待提示。
宏病毒分析

宏

使用alt+f11查看宏，分析后发现其先在%Temp%目录下写入13.xlsx文件，然后将其作为zip文件解压成了oelObject1.bin文件，最后将oelObject1.bin文件中的数据保存在%APPDATA%目录下的exchangeX.dll文件并使用LoadLibraryW()加载
模块1
宏病毒分析

模块2

exchangeX.dll

运行样本在%APPDATA%目录下找到exchangeX.dll文件使用Peid查壳，穿山甲v4壳
宏病毒分析
脱壳调试：脱壳后的文件命名为exDump.dll

将exchangeX.dll拖入x32dbg中
宏病毒分析
alt+f9运行到用户代码，再f8单步一下，在ESP下断

f9一下，再f8一下就来到了第二个UPX壳附近

然后再来一遍ESP定律，就来到了OEP处

使用其自带的插件进行脱壳，

脱之前需要将此项去掉勾选

选择相应的dll

dump操作，
宏病毒分析
带壳调试：使用OD调试，发现其使用VirtualAlloc申请了两次空间，分别申请了0xC738和0x16000大小的空间

其先在申请的第一块空间处填充数据，

然后其将第一块空间中的数据释放到了第二块空间中，将这段数据dump下来发现其是一个加了UPX壳的dll，命名为61B00.dll。

宏病毒分析
61B00.dll

将61B00.dll脱壳后与exDump.dll进行比较，发现二者是一样的东西。

61B00.dll

分析61B00.dll，先使用IDA发现其主要的功能函数名字为Amway，宏里面就有调用这个函数。
宏病毒分析
使用OD分析分析，由于其只是一个DLL并不会主动运行，所以直接跳转到sub_10002BB0（）函数处，并将其设置为新的EIP即可调试。

调试发现，其前面很大一部分在收集主机信息，包括主机名，用户名，系统版本和系统上的进程信息
宏病毒分析

收集完信息之后，使用NetConnect_10001917（）函数与https://office-teml-en.com/tw建立连接，以POST方式将这些数据发送了出去

接下来会判断连接是否建立成功，如果建立成功将会以GET方式继续连接https://office-teml-en.com/tw下载数据到本地，然后使用CreatePeocess（）函数开启新的进程。
宏病毒分析