1、網(wǎng)絡(luò)特征

ant.trenz.pl ilo.brenz.pl

2、文件特征

通過對(duì)文件的定位，使用PEID查看文件區(qū)段，如果條件符合增加了7個(gè)隨機(jī)字符區(qū)段的文件，則判定為受感染文件。

3、受感染特征

參考：

【病毒分析】Virut.ce-感染型病毒分析報(bào)告

http://www.cnblogs.com/17bdw/p/7776877.html

4、證明正常進(jìn)程空間里含有惡意代碼

把受感染進(jìn)程的內(nèi)存dump出來，通過微軟工具String將內(nèi)存里的字符串打印出來，搜索IOC域名字符串就可以看到網(wǎng)絡(luò)特征里的域名了。注：圖中604這個(gè)PID號(hào)對(duì)應(yīng)受感染后的Winlogon進(jìn)程。

嘗試把Winlogon的DLL全都dump出來，依次用Strings打印出來。就可以定位到哪個(gè)DLL里有被注入的ShellCode了

轉(zhuǎn)載于:https://www.cnblogs.com/17bdw/p/9011964.html

總結(jié)

以上是生活随笔為你收集整理的Virut样本取证特征的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。