-
-
[原创]一个藏在正常程序下的C#木马样本分析
-
发表于: 2021-4-28 10:03
-
本文章只分析了木马加载的过程，不分析木马功能
护网期间一个朋友发给我的样本让我帮忙分析一下
ExeinfoPe查了一下是一个C#的程序，然后加了个混淆直接de4dot处理一下拉入dnspy
反编译之后看没发现什么http请求，启动函数运行了一个frmMain窗体，看了看代码什么的发现是一个正常的窗体程序，什么也没发现
动态调试
程序肯定是有问题的，于是就动态调试发现，这个程序是一个加载程序，他找了一套正常程序的源码重写了一个属性的set函数 在set函数中，从资源文件拿到dll然后加载dll
利用反射加载dll之后 反射调用函数
method.Invoke(0, parameters);
反射获取到第一个类，然后获取该类的Client函数，参数分别是 "OVAGp","bAJs","Finast"
dnspy dll反编译
看着这样一个正常的程序，我们直接找一个Client的函数
一眼就是反射调用，不过他是通过vb.net的
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2021-4-28 10:06
被还我六千雪币编辑
，原因： 错别字
如斯咩咩咩
