-
-
[原创]从FTP爆破开始的MOZI僵尸网络windows版
-
发表于: 2022-4-2 14:27
-
前言
做蓝队的兄弟应该都对MOZI僵尸网络有所了解，经常能碰到这个僵尸网络的各种爆破。然而能搜索到的信息无一不是LINUX版本的MOZI。正好碰到了一个奇葩的windows版本的MOZI，在此记录一下给各位需要溯源的兄弟提供点信息。（这玩意有点久了一直懒得发）
开端
又是搬砖的一天，一大早客户就来了个消息，说机器被打了，让看看。各种分析日志过程就不说了，最后在FTP日志里面发现了问题，上图：
成功弱口令的攻击与是在下图所示，还直接传了个奇怪的东西：
传的东西名称不太一样但实际是一个样本，这里就以Video.scr为例。
解包
先上样本信息：
文件名 Video.scr
SHA1 B4D1E6F702D73A1D6F674037CBB1C8A258EA8366
最后于 2022-4-2 15:04
被团圆饭怎么吃编辑
，原因： 补一个提取好的MOZI
