能力值：
( LV2，RANK：10 )
|
-
-
2 楼
0.0
其實他外面有一層˙很像殼層的東西
我還在分析中，有跳到程式外在跳回去不過就跑飛了。
|
能力值：
( LV10，RANK：160 )
|
-
-
3 楼
很好奇那个循环嵌套子程序怎么写出来的。多层无用参数传递。
我DUMP出一个MEM。貌似是UPX了的PE文件。我修复看看
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
剛剛大概分析完全了，他除了創建資料夾外，他還會用windows的檔案系統漏洞建立一個刪除不掉的資料夾。
現在正在看它裡面有甚麼東西，這個病毒跟我上次遇到的很像。
目前的動作就這些，我正在想辦法還原他的程式碼，因為他程式碼有兩段，UPX脫殼後的是第一段
之後會跳到003XXXXX的記憶體，之後再跳回去，這個是第二段。
它的目的只是讓你無法分析出來，所以他也不一定要寫有用的程式碼。
第二段程式碼才是重要的程式碼，第一段的程式碼其實是垃圾。
而且目前是要用他的upx脫殼後的程式去分析，我現在正在研究看看能不能直接用它裡面的那段就好了。
第二段的UPX在00450CD0
總共兩個UPX，再加上一堆垃圾代碼，還有一個不知道從哪讀取的resource，之後就將那些資料寫道003XXXXX，跳到那裏執行，之後就可以createmutexA
大概就這樣。
|
能力值：
( LV10，RANK：160 )
|
-
-
5 楼
啊，确实哈,我也DUMP出来了，自删除。重名名，注入几个主进程，注册表启动～
呵
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
那些我在第一個動作我就看到了，只是我在看說，主要執行那個程式碼的地方，還有，就是能不能拖吊第二層的殼之後還能正常感染
|
|
|
|
