> For the complete documentation index, see [llms.txt](https://twentysick.gitbook.io/twentysick/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://twentysick.gitbook.io/twentysick/sharing/series-phat-minh-lai-cai-banh-xe/iis-native-module-nhung-la-backdoor/lam-sao-de-phan-tich-ma-doc-la-iis-native-module.md).
# Làm sao để phân tích mã độc là IIS Native Module
Viết được mã độc, vậy giờ làm sao để phân tích được mã độc ở dạng IIS Native Module nhỉ?
{% hint style="info" %}
Ném cho **Claude** hoặc **mấy con AI** cho nhanh. Thời đại nào rồi còn ngồi phân tích tay bo
{% endhint %}
## Phân tích tĩnh
#### Công cụ
* IDA Free (Decompiler)
* CFF Explorer (PE Analyst)
#### Nội dung
Mình sẽ thực hiện phân tích bằng các công cụ decompiler như IDA và Ghidra, rồi ngồi đọc chay thôi.
Tuy nhiên, sẽ có 1 số key word mà mình thường ưu tiên:
* Địa chỉ IP, domain C\&C
* Các API nhạy cảm như CreateProcess, RegCreateKeyEx,...
Bên cạnh đó, mình ngồi trace để tìm ra hàm có mùi không thơm (có thể tham khảo [*https://github.com/PwCUK-CTO/iis-helper-plugin*](https://github.com/PwCUK-CTO/iis-helper-plugin))
## Phân tích động
#### Công cụ
* x64dbg (Debugger)
* Wireshark
* Process Monitor (ProcMon)
* Process Explorer (ProcExp)
#### Nội dung
Patch lại file thư viện đó với MAGICALBYTEEEEEEE để nó nhảy tại chỗ UwU
{% code expandable="true" %}
```
EB FE
```
{% endcode %}
Trước khi patched
Sau khi patched
Tiếp theo, thực thi tiến trình *w3wp.exe* để thực hiện load ***Native Module** (Lưu ý: Cần nhanh tay tại cẩn thận bị tràn bộ nhớ nhóe)* và attach process vào x64dbg (đã cài plugin ScyllaHide)
Đặt breakpoint tại đúng vị trí mình đã sửa 2 bytes
Đặt breakpoint tại chỗ sửa 2 bytes
Sửa lại 2 bytes và ***thực hiện debug bình thường thôi UwU***
