刀锋上前行！绕过Ramint蠕虫病毒直接脱壳

系统 ： Windows xp

程序 ： 某游戏客户端

程序下载地址 ：不提供

要求 ： 脱去压缩壳

使用工具 ： OD & PEID & LordPE & Import REC

被感染客户端中的是Ramint蠕虫病毒，感染速度非常快，危害相当大。建议在虚拟机环境下进行逆向分析。

相关资料：

Ramnit(W32.Ramnit)的初始形态是蠕虫病毒，首次出现于2010年，激进的自繁殖策略使其得到迅速传播。一旦入侵计算机，该病毒就会找出本地硬盘和移动硬盘上所有的EXE、DLL、HTM和HTML文件，通过自身副本感染这些文件。 

本文参考了这篇帖子的12L回复：

会有一个新段位 rmnet的sfx段
取现在EP地址-（【EP+】得到的偏移数）= 原始OEP

动态劫持脱壳
EP处直接粘贴该二进制
 E8     5D  ED  2B AD      6C  1C  FF E0

静态脱壳
先提取rmnet区段数据。然后取得 EP+328数据用ep减即可。。。然后删除rmnet区段。

客户端入口点在病毒区段，其内容为：

 >                pushad
    E8      call
    5D              pop     ebp
    8BC5            mov     eax, ebp
    81ED 326F0120   sub     ebp, 20016F32
0062200F    2B85    sub     eax, dword ptr [ebp+]
     4C720120   mov     dword ptr [ebp+2001724C], eax
0062201B    B0            mov     al,
0062201D     9E740120   xchg    byte ptr [ebp+2001749E], al
    3C            cmp     al,
    0F85 DE020000   jnz     

按照帖子回复所说静态修改代码，其内容变为：

 >                pushad
    E8      call
    5D              pop     ebp
    83ED          sub     ebp,
0062200A    2BAD    sub     ebp, dword ptr [ebp+]
    896C24 1C       mov     dword ptr [esp+1C], ebp
                  popad
    FFE0            jmp     eax

以上指令找出了oep的位置，并直接跳转进入oep。也就是说，根本不用分析病毒行为，我们直接绕过它就可以。

脱壳时，运行到客户端真正的oep再完整转存内存映像，并在重建输入表的时候选择正确的oep，那么病毒代码就并不会执行。

紧接上部，jmp eax之后来到了程序的upx壳部分：

0060D080                  pushad
0060D081    BE      mov     esi,
0060D086    8DBE 00C0E8FF   lea     edi, dword ptr [esi+FFE8C000]
0060D08C                  push    edi
0060D08D    83CD FF         or      ebp, FFFFFFFF
0060D090    EB            jmp     short 0060D0A2
0060D092                  nop
0060D093                  nop
0060D094                  nop
0060D095                  nop
0060D096                  nop
0060D097                  nop
0060D098    8A06            mov     al, byte ptr [esi]
0060D09A                  inc     esi
0060D09B                mov     byte ptr [edi], al
0060D09D                  inc     edi
0060D09E    01DB            add     ebx, ebx
0060D0A0                jnz     short 0060D0A9
0060D0A2    8B1E            mov     ebx, dword ptr [esi]

单步执行pushad之后，esp指向0012FFA4 ，键入命令hr 12FFA4下硬件断点，F9运行程序断在此处：

0060D207    8D4424        lea     eax, dword ptr [esp-]
0060D20B    6A            push
0060D20D    39C4            cmp     esp, eax
0060D20F  ^  FA           jnz     short 0060D20B
0060D211    83EC          sub     esp, -
0060D214  - E9 93D9EFFF     jmp     0050ABAC

直接在60D214出下断，跟入真正的oep：

0050ABAC                  push    ebp
0050ABAD    8BEC            mov     ebp, esp
0050ABAF    6A FF           push    -
0050ABB1     90C35100     push    0051C390
0050ABB6     60D65000     push    0050D660
0050ABBB    :A1   mov     eax, dword ptr fs:[]
0050ABC1                  push    eax
0050ABC2    : >mov     dword ptr fs:[], esp
0050ABC9    83EC          sub     esp,
0050ABCC                  push    ebx
0050ABCD                  push    esi
0050ABCE                  push    edi
0050ABCF     E8         mov     dword ptr [ebp-], esp
0050ABD2    FF15 A8B15100   call    dword ptr [51B1A8]               ; kernel32.GetVersion

此时单击菜单Debug->hardware breakpoints删除之前设置的硬件断点。

打开LordPE选择客户端程序并单击右键选择“完整转存”。

保存dump文件之后，再打开输入表重建工具Import REC附加到客户端程序。

填写OEP为“10ABAC”，依次单击“自动查找IAT”、“获取输入表”，最后，单击“修复转存文件”，选中之前的dump文件，则脱壳成功。