-
-
[原创]分析一个感染众多的远控木马，可过360和火绒
-
发表于: 2020-8-5 00:20
-
最近用户反映电脑被装了挖矿木马。360和火绒杀毒都检测不出来
直接上火绒剑查了一遍进程，果真没有任何异常，难不成这些木马从天而降？
不过既然是远控木马，必然得联网通讯，看网络里还真就发现了异常,(svchost.exe)咋那么显眼呢，一般不在system32目录下的这个文件都不正常
顺藤摸瓜找到 C:\ProgramData\Microsoft\Windows\GameExplorer\remote.hlp 文件，这家伙名字就叫remote，生怕不知道你是远控？
用火绒扫描此文件，竟然不报毒，是木马太狡猾还是火绒不够用呢？
还好通过日志发现了此木马的踪迹，同时发现了对方的服务器IP
180.178.32.194:8081
以及域名 fuck88.f3322.net
信息属实的话这个人叫 pengyong，然后继续搜索，发现之前有分析这个木马的文章
https://www.freebuf.com/articles/system/236732.html
从图中可以看出，这木马感染的鸡是真多，应该是有不小影响力的了。这哥们要是被发现事情可不小
继续搜索，再某论坛下载到了名字叫remote2019.exe 的远控软件，开虚拟机测
这玩意张这样，挺眼熟的，看日期是从18年就开始更新的，
生成一个玩玩？
....
远控服务器IP ：180.178.32.194:8081
域名 fuck88.f3322.net
emmm，1万一份只卖3份
附件就传蓝奏云了，有兴趣的继续研究 远控木马
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2021-1-13 16:49
被kanxue编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
好玩儿
|
|
|
|
|
|
|
|
|
|
|
|
 为什么这些家伙传播能力怎么强?
|
|
|
|
