-
-
[讨论]半个样本
-
发表于: 2012-6-7 13:12
-
今天朋友玩游戏，遇到一骗子，于是有个这个样本。
为什么会说半个，因为那骗子本身就只发了半个。
样本的流程是解密shellcode，并执行。从xxx.jpg文件读入信息，写到栈中并运行。
缺少的也就是xxx.jpg。
不过有意思的是360
难道是因为恶意代码放在了xxx.jpg里，而ZryHyk.exe并没有恶意代码。所以暂未发现风险
解压密码：1
ZryHyk.zip
为什么会说半个，因为那骗子本身就只发了半个。
样本的流程是解密shellcode，并执行。从xxx.jpg文件读入信息，写到栈中并运行。
缺少的也就是xxx.jpg。
不过有意思的是360
难道是因为恶意代码放在了xxx.jpg里，而ZryHyk.exe并没有恶意代码。所以暂未发现风险
解压密码：1
ZryHyk.zip
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
 因为只有半个样本，所以只是讨论这种方式。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 运行完毕后释放C:\Program Files\WindowsUpdate两个文件一个enlpu.dll，MSUpdates.exe。都被360秒杀。这样看来360也算是敬业了 |
|
|
|
|
|
|
