-
-
[原创] 分析了个简单的病毒, 熟悉一下16位汇编
-
发表于: 2018-8-1 19:22
-
之前都是直接在磁盘引导里面查看密码, 然后给他们提供解密的密钥, 只要这个程序不是撕票型的勒索者, 就肯定有备份的地方, 这次刚好又来了一个, 我就想好好分析一下这个程序, 看看手动能不能直接恢复用户磁盘引导, 刚好也很久没有分析16位的程序了, 顺便拿来练练手, 想当年也是看着王爽的<汇编语言>入门的.
经过测试, 这个程序碰到杀软是直接就能报毒的, 真的是不知道那些用免费外挂的人是怎么想的, 免费的外挂也敢运行. 这些免费外挂基本都是有病毒的, 低调一点的一般都是抓个肉鸡然后要么偷偷后台刷流量要么偷偷挖矿, 高调一点的就是把计算机加密了, 然后直接要钱, 顺便再打印几句骂人的话, 你说要不要爆炸?
文件名: 无双.exe
Md5: 0CFA3940AEECFF67D76B447A5E9711FB
附件: 0.bin (这个是备份下来的磁盘引导, 有兴趣的可以自己看看)
运行流程:
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
附件里面的内容是在winpe下面用BOOTICE备份出来的, 其他工具很多比如PCHunter也可以检测. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
以前拿样本分析过, 能看出来主程序是易语言写的, 而且锁机这一块是调用的第三方模块, 只是这样本加了强壳, 我这点能耐只能摸清整体框架, 细节上还是逆不出来  . 后续也准备模仿大佬去写一个自动修复工具.
|
|
|
|
|
|
|
|
|
|
