吾爱破解 - LCG - LSG |安卓破解|病毒分析|破解软件|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

搜索
查看: 2649|回复: 9
上一主题 下一主题

[PC样本分析] 存活的样本分析

[复制链接]
跳转到指定楼层
楼主
皮卡炫 发表于 2019-5-14 16:36 回帖奖励
使用论坛附件上传样本压缩包时必须使用压缩密码保护,压缩密码:52pojie,否则会导致论坛被杀毒软件等误报,论坛有权随时删除相关附件和帖子!


双击后自动消失并且隐藏自身


释放在C:WINDOWS\SYSTEM32\RQVRME.EXE         C2出现了,还是打码,万一我被盯上就麻烦了。。。。


它的C2域名


获取执行的时间


获取本机的IP地址




这里不太懂,我通过解码的IP与C2不符,是不是想混淆IP,有大佬告诉我吗???


获取WIN的版本


这里有可能是反OD调试,进入一个CALL的时候死循环了,以前见过这种。od的异常处理有一个bug,就是他会自动的将异常关闭。但是这个bug就被一些人利用来反od了。




不断报告当前的信息给C2


应该是urlmon.dll,也就是微软那个浏览器internet explorer,应该是通过这个下载样本


这里不知道是不是想混蒙过去,不过大概猜得出是什么。Current    control     services


修改注册列表,形成自启动,这里应该是读取它释放的数据


这里应该是C2与样本进行通信


删除自身
目前C2还是活的,估计已经控制了不少肉鸡。样本是Nitol家族的,很久没发帖了,初出茅庐,如果有什么错误请各位大佬纠正一下。

免费评分

参与人数 4吾爱币 +11 热心值 +2 收起 理由
Hmily + 6 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
liphily + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
爱破解的阿卡丽 + 1 + 1 膜拜大佬啊
willJ + 3 感谢发布原创作品,吾爱破解论坛因你更精彩!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

沙发
cat95f 发表于 2019-5-14 16:50
学习一下,谢谢楼主
3#
Hou 发表于 2019-5-14 16:54
看文件名就知道是Star Rat那类的开源远控
一般杀软都能拦下来
4#
虚无空幻 发表于 2019-5-14 17:11
Hou 发表于 2019-5-14 16:54
看文件名就知道是Star Rat那类的开源远控
一般杀软都能拦下来

我也想知道,360不拦截?
感觉现在个人电脑如果装个360.
在不是ghost版系统,不关闭杀软或加白名单的情况下,中毒几乎成为不可能了。。。
各种自启动方式都被监视的死死的。
5#
 楼主| 皮卡炫 发表于 2019-5-14 17:33 <
是捕获到的样本,这种360随便杀,主要是学习一下分析。第一次分析样本
6#
52user 发表于 2019-5-14 17:33
老哥 全程静态的么 这有些强势啊 还是动态图懒得上了 哈哈 IOC可以发下的吧
7#
Jem 发表于 2019-5-14 17:35
学习了,感谢楼主分析
8#
 楼主| 皮卡炫 发表于 2019-5-14 17:38 <
没搞过动态图    IOC接触得少
9#
willJ 发表于 2019-5-15 09:30
下次把分析报告整理好看些,然后再深入分析下,期待你下次分享。
10#
lilexy 发表于 2019-5-15 09:36
各种自启动方式都被监视的死死的。
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:禁止回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2019-7-22 16:12

Powered by Discuz!

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表