对一个vbs脚本病毒的病毒原理分析
对VBS脚本病毒进行逆向分析，病毒经两层加密（base64与ASCII码拼接）后还原。功能包括通过注册表实现开机自启、感染U盘并创建恶意快捷方式，以及从服务器获取命令，支持执行、更新、卸载、文件上传下载、枚举驱动器、进程管理等多种远程控制操作。
一、前言
这是一份病毒课上的实战作业分析，面对的是一个经过加密处理的VBS脚本病毒。这里把完整的分析过程和思路梳理出来，希望对同样在研究恶意代码的朋友有所帮助。当然，文中若有疏漏或偏差，欢迎直接留言指正。
二、目录
整个分析流程可以划分为三个主要部分：
0x00 准备工作
0x01 解密部分
0x02 功能分析
三、分析过程
0x00 准备工作
一台Windows XP虚拟机就够用了，当然在自己电脑上操作也完全没问题。另外，手头需要了解VBS的基本语法，便于理解代码逻辑。
0x01 解密部分
右键病毒文件选择编辑打开，或者把后缀名改成txt直接查看。打开后果然是一大段密文，代码开头只调用了一个函数——deCrypt。目前能获得的信息就这些，继续往下翻。
拖到代码底部，发现还有一次deCrypt调用。原来经过了两层加密。先把执行部分注释掉，改成将解密结果输出到文本文件。观察输出结果，编码特征表明用的是base64加密。
第一轮解码后的结果依然无法直接阅读。继续看代码如何处理。
代码里将字符串按“|dz|”分隔，拿到的是ASCII码。把这些ASCII码对应的字符拼接起来，就得到了真正的内容。同样的套路，把解密结果输出到文件继续分析。
这一次输出的才是真正的病毒代码。接下来进入功能分析环节。
0x02 功能分析
从代码开头开始梳理。首先是一些配置信息，包含了一个服务器域名。查了一下，服务器在美国。尝试ping——不通，可能是服务器设置了禁ping，也可能是早已废弃不用，或者是被防火长城拦截了。
接下来是后续会用到的变量定义，这里略过。
再往下是“code start”入口。因为函数之间互相调用，这里按执行顺序给每个调用的函数编了号，方便阅读。
首先调用的是instance函数。
1. instance函数
给usbspreading参数赋值，同时进行注册表写入操作。
instance函数执行完后，进入一个while true的死循环，不断从服务器读取命令并执行。循环内部先调用install过程。
2. install过程
install里面又调用了upstart，继续展开。
2.1 upstart过程
通过注册表将病毒脚本设置为开机自启动。
从upstart返回，继续看install剩下的代码。内容比较多，这里直说功能：扫描所有驱动器，类型号为1时（代表可移动设备）触发动作——显然是为了感染U盘之类的设备。它会将脚本拷贝到移动设备的根目录，设置文件属性为隐藏、系统文件、可读写。然后获取根目录下所有文件，如果文件不是lnk快捷方式，就将其设置为隐藏系统文件、可读写，再创建对应的快捷方式。快捷方式指向cmd.exe，参数是一串精心构造的命令：先启动脚本病毒，再启动真正的文件，最后退出cmd。对根目录下的文件夹同样处理。到此，install过程分析完毕。接下来看post函数。
3. post函数
post的功能是向服务器发送被感染机器的相关信息，并从服务器获取病毒制作者的命令。其中调用了information函数来获取被感染机器的信息。
3.1 information函数
用来获取硬盘序列号、系统相关信息以及电脑上安装的安全软件。
post执行完毕返回后，拿到服务器的命令。接下来是对命令的解析和执行——典型的switch...case...结构。
4. 对各种命令的解析执行
4.1 execute命令
直接执行接收到的命令。
4.2 update命令
从服务器获取数据来更新病毒自身。
4.3 uninstall命令
调用uninstall过程，将病毒之前对注册表的修改恢复，并删除之前复制到其他目录下的病毒脚本。
4.4 send命令
调用download过程从服务器下载文件。
4.5 site-send命令
调用sitedownloader过程，同样是从服务器下载内容，不过这次下载的看起来像是网站源码。
4.6 recv命令
调用upload函数，上传指定的文件。
4.7 enum-driver、enum-faf、enum-process命令
分别调用对应函数，枚举所有驱动器相关信息、指定目录下的文件和文件夹，以及系统进程。
4.8 cmd-shell命令
调用cmdshell函数执行接收到的cmd命令，并将执行结果返回给服务器。
4.9 delete命令
调用deletefaf过程删除指定的文件或文件夹。
4.10 exit-process命令
调用exitprocess结束指定的进程。
4.11 sleep命令
设置脚本的睡眠时间。
到这里，所有命令的解析执行都已梳理完毕。执行完相应命令后，病毒会进入指定的睡眠时间，之后继续从服务器获取下一个命令。
四、总结
复盘这次分析，有几个收获点：
1. 对base64编码有了更具体的认识——实际分析不见得需要掌握实现细节，但至少要会识别和使用。
2. VBS语法的一次实战练习。
3. 通过注册表设置程序自启动的具体手法。
4. 调试技巧：遇到晦涩的代码，把中间结果输出到文件，理解起来快得多。
关于清除病毒，也试验了两种方法：一是直接截取一段密文进行全局搜索，只要包含该字段的vbs文件就删掉。这样做注册表虽未被恢复，但自启动文件已删除，病毒无法运行。二是更彻底的方法——把病毒中uninstall模块单独提取出来调用一次，所有修改就都能恢复干净。
从这次分析可以看出，该病毒通过VBS实现了与服务器通信、修改文件系统、修改注册表等一系列操作。换成其他语言当然也能实现，但VBS几乎每个Windows系统都有解释器，传播门槛低，而且语言本身容易上手——这大概就是病毒作者选择他的原因吧。不同语言各有特点，关键还是看其优势是否与需求契合。
AirBuddy 3 是面向 macOS 的蓝牙外设增强工具，可集中查看 AirPods、Beats 与苹果设备电量，提供快速连接、播放控制、电量提醒、桌面小组件和多台 Mac 外设接力等功能。
AirServer macOS版可把 Mac 转换为无线投屏接收端，通过 AirPlay 或 Google Cast 接收手机、平板和电脑画面，并支持多设备同时连接、高清镜像及会话录制，适合家庭娱乐、课堂教学、会议演示和应用展示。
Beamer 4是面向macOS的本地视频投屏工具，可将Mac中的影片投放到Apple TV、Chromecast及兼容设备，支持常见格式、多类字幕、环绕声、播放列表和电视遥控操作。
Boom 3D macOS版是一款系统级音效增强工具，可为音乐、电影、游戏和流媒体提供3D虚拟环绕声、31段均衡器、音量增强及应用独立音量控制，并支持本地播放器与多种音频输出设备。
Boris FX macOS版是一套面向剪辑、合成、调色及动态图形工作的专业后期工具，涵盖视觉特效、平面与三维跟踪、转描、画面修复、粒子动画和音频清理，可配合多种主流宿主软件使用。
Capto 是面向 macOS 的屏幕截图、高清录屏与媒体编辑工具，支持区域及整屏捕获、网页长截图、双音轨处理、图片和视频标注、素材分类与多渠道分享，适合教师、学生、内容创作者及需要制作演示教程的用户。
Cursor Crane 是一款仅面向 macOS 的键盘操控效率工具，可通过提示标签、网格、文字查找和窗口模式完成点击、滚动、定位与切换，并支持屏幕内容提取、脚本及工作流扩展。
Deep Freeze 冰点还原 macOS版通过冻结系统配置，让受保护的Mac在重新启动后回到预设状态，并提供解冻空间、维护计划、密码保护及Apple Remote Desktop管理能力。
Focusky macOS版是一款面向教学课件、商务汇报、产品展示和动画宣传内容的演示制作工具。它通过无限画布、路径编排、缩放旋转转场及多媒体编辑，将传统逐页幻灯片转化为更具空间感的动态演示。
Folder Colorizer 2 macOS版是一款直观的文件夹外观定制工具，可更换颜色，添加表情、贴纸及图片背景，并支持批量处理、智能推荐和恢复默认样式，帮助用户更快辨认工作、学习与生活资料。
AnyDesk Windows版是一款轻量化远程桌面与技术支持工具，可用于控制异地电脑、传输文件、远程打印及无人值守访问。它兼顾连接响应、安全权限和部署灵活性，适合个人远程办公、企业设备维护与客服支持。
Boom 3D Windows版是一款面向音乐、电影和游戏场景的系统级音效增强工具，支持虚拟3D环绕声、31段均衡器、预设音效、应用音量控制及本地音乐播放，可配合耳机、扬声器和蓝牙耳机使用。
Boris FX Windows版是一套服务于影视剪辑、视觉特效、运动跟踪、转描、图像修饰及音频修复的专业创作工具集合，可作为插件接入多种主流后期宿主，也包含可独立运行的应用，适合剪辑师、特效师与内容创作者使用。
ChemDraw Windows版是一款面向化学研究、药物研发、材料科学和教学工作的专业结构绘图工具，可快速绘制分子、反应式及生物聚合物，并提供结构整理、格式转换、性质计算和科研文档协作能力。
CODESOFT Windows版是一套企业级条码与RFID标签设计打印工具，可连接Excel、Access、SQL及云端数据源，支持变量、表单、GS1条码、数据库记录和多种工业打印机，适合制造、仓储、物流及合规标识场景。
Deep Freeze 冰点还原 Windows版通过重启恢复技术保护系统盘及指定分区，自动撤销恶意程序、误操作和配置漂移造成的改动，并支持密码保护、解冻空间与多硬盘管理，适合学校机房、公共电脑、办公终端及家庭电脑使用。
EDIUS 11 Windows版是一款面向影视制作、广播电视、纪录片、短视频及教育机构的专业非线性编辑工具，支持4K/8K、多格式混编、HDR调色、字幕、音频处理和后台渲染，并提供素材管理及丰富的导出预设。
FastStone Capture Windows版是一款轻量级屏幕捕捉、录屏与图像编辑工具，可截取窗口、区域、菜单和滚动页面，并提供标注、模糊、取色、OCR、录音录像及多格式导出能力，适合办公说明、教程制作和问题反馈。
Focusky Windows版是一款动画演示与交互课件制作工具，通过无限画布、缩放旋转镜头、模板素材和对象动画组织内容，可导入PPTX，并输出视频、EXE、PDF、网页等格式，适用于课堂教学、微课、商务汇报及产品展示。
Folder Colorizer 2 是面向 Windows 的文件夹颜色修改工具，可在资源管理器右键菜单中快速套用预设颜色，或通过 HEX 色值创建个性颜色，帮助用户直观区分项目、课程、素材与任务状态。
FumeFX Windows版是一款集成在3ds Max中的流体与多物理场特效插件，支持火焰、烟雾、液体、海洋、粒子及布料模拟，并提供GPU加速、节点化控制和缓存处理工具，适合影视、动画与游戏特效制作。
Fuzor Windows版是一套面向建筑、工程与施工团队的BIM/VDC平台，可汇集多来源模型和进度数据，完成实时可视化、4D施工推演、场地物流规划、问题检查、成果演示及团队协同。