-
-
[原创]盗号木马分析报告
-
发表于: 2017-10-21 15:36
-
之前发过一遍，不够清晰，周末有点时间，整理一下
大小: 631810 bytes
修改时间: 2017年9月29日, 8:19:09
MD5: 81FE61EC3C044AA4E583BA6FF1E600E8
SHA1: D7C9D1E5A2FA2806A80F9EDBCDD089ED05D6B7D8
CRC32: 2EBCCBF8
加壳情况：未加壳
这是一个针对用户浏览器、FTP软件，窃取系统及个人信息的木马。
创建C:\Users\用户名\AppData\Roaming\5F1832文件夹，并将木马以不同名称2728C2.exe复制到其中，其中名称5F1832和名称2728C2为木马随机产生，接着修改木马的文件属性为隐藏。用户系统中浏览器、FTP等软件本地存储密码会被上传到指定服务器。木马尝试在注册表中添加启动项但是失败。0x04详细分析当木马运行后，会进行如下操作：
第一次解密
第二次解密
此时木马的主体已经暴露在外，将其dump出来，保存为可执行文件
(1)首先创建一个内存段对象
(2)两次调用下面的函数，将当前进程内存地址为0x16E000和子进程内存地址为0x400000,大小同为0xA2000(也就是释放的恶意PE的IMAGESIZE)的内存空间同时和上面创建的SectionHandle“绑定”到一起。
此时在当前进程中修改0x16E000后的内容就会间接的修改了子进程0x400000后的内容。
此时当前进程和子进程的内容应该都如图所示
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2019-4-12 10:17
被树梢之上编辑
，原因：
