伪装qizhi software数字签名的下载者分析报告
生活随笔
收集整理的這篇文章主要介紹了
伪装qizhi software数字签名的下载者分析报告
小編覺得挺不錯的,現在分享給大家,幫大家做個參考.
文件名:360anqn.exe.重命名 殼信息:加了兩重殼,外面一層nspack,里面一層未知加密殼 脫殼前文件大小:34.0 KB 脫殼后文件大小:124 KB ? 程序流程概述: 該樣本運行后,把自身拷貝到$windir/system32/,設置成系統+隱藏屬性,傳入參數2,運行拷貝的進程,并創建cmd.Exe 傳入解密后的參數:/c delete me 刪除自身后退出進程.
系統目錄下的進程判斷傳進來的參數,如果是2 則把自身注冊為系統服務.
在服務派遣函數里 ,讀取用戶機器cpu,主板,內存等信息,判斷系統版本,釋放PCIDump.Sys驅動到drivers目錄.恢復ssdt, 創建傀儡進程.
在傀儡進程里創建線程,監聽***發來的指令,***指令分為以下幾類:關機,重啟,注銷,下載指定文件存命名為:c:\2.Exe,并運行,訪問指定網站.運行指定進程
解密后的鏈接地址為:http://dkdos.3322.org:7758 查詢dkdos.3322.org站點的相關信息如下: 網站流量:IP ≈266,116 ? PV ≈1,969,255 IP地址:222.218.130.252 IP所在地:廣西河池市 電信
系統目錄下的進程判斷傳進來的參數,如果是2 則把自身注冊為系統服務.
在服務派遣函數里 ,讀取用戶機器cpu,主板,內存等信息,判斷系統版本,釋放PCIDump.Sys驅動到drivers目錄.恢復ssdt, 創建傀儡進程.
在傀儡進程里創建線程,監聽***發來的指令,***指令分為以下幾類:關機,重啟,注銷,下載指定文件存命名為:c:\2.Exe,并運行,訪問指定網站.運行指定進程
解密后的鏈接地址為:http://dkdos.3322.org:7758 查詢dkdos.3322.org站點的相關信息如下: 網站流量:IP ≈266,116 ? PV ≈1,969,255 IP地址:222.218.130.252 IP所在地:廣西河池市 電信
運行于此服務器上的3個網站
| 1 | www.512hack.cn | 0 | 8,878,502 | 風云遠程控制軟件||強制視頻軟件||遠程管理軟件|出售肉雞||DDOS***||***軟 |
| 2 | www.txqq10000.com | 0 | 0 | 我們的.大家的.周年慶 - 騰訊十周年大型網友慶典活動 |
| 3 | dkdos.3322.org | 0 | 3,062 | 訪問此站 |
總結
以上是生活随笔為你收集整理的伪装qizhi software数字签名的下载者分析报告的全部內容,希望文章能夠幫你解決所遇到的問題。
- 上一篇: linux下ssh登录PIX防火墙
- 下一篇: CentOS 5.3 下快速安装配置 P