随笔分类 - 样本分析
摘要：# Zeo 勒索病毒（Dharma/Crysis 勒索家族）分析报告 分析对象：winhost（32 位 x86 PE） 家族归属：Dharma / Crysis 家族（Zeo 变种） 分析方式：IDA Pro 静态逆向 + 配置解密脚本辅助，未执行样本 结论速览：RSA-1024 + AES-25
阅读全文
摘要：DriverLoader驱动逆向分析报告 目录DriverLoader驱动逆向分析报告0. 概述1. 驱动初始化与鉴权 (DriverEntry → DriverInit)1.1 入口1.2 DriverInit @ 0x1400019F0 鉴权流程1.3 服务器 IP 还原(混淆表)1.4 许可文
阅读全文
摘要：NewDriverMMM驱动分析报告 目录NewDriverMMM驱动分析报告1. 概述2. 函数逐一分析2.1 DriverEntry @ 0x1400050002.2 InitSecurityCookie @ 0x14000502C2.3 RealDriverEntry @ 0x1400011F
阅读全文
摘要：wskmon.sys — WHQL 签名 WFP 内核驻留网络后门分析报告 目录wskmon.sys — WHQL 签名 WFP 内核驻留网络后门分析报告1. 样本元信息2. 总体架构3. 函数重命名一览重命名的全局变量4. 详细分析：DriverEntry 与 WFP 注册4.1 DriverEn
阅读全文
摘要：参考链接：https://s4dbrd.github.io/posts/reversing-bedaisy/ 目录Equation Group 硬盘固件持久化工具链 —— 逆向分析报告第一章 概述1.1 整体架构1.2 样本信息第二章 PE 文件结构2.1 nls_933w.dll2.1.1 区段信
阅读全文
摘要：Python Steam盗号木马 目录Python Steam盗号木马样本来源解包python 代码IOC 样本来源 Python Steam盗号木马_卡饭论坛 竟然使用python写盗号，为何不交给AI转成golang、c++？ 解包 过程略。 样本采用cx_Freeze打包，解压lib/libr
阅读全文
摘要：目录Bootkitty：Linux uefi bootkit 分析文件信息0、ModuleEntryPoint 入口函数1、hook do_start_imagehook_grub_1_mods__do_start_image_18000EFB0do_start_image （目标函数）hook_g
阅读全文
摘要：Synaptics 蠕虫病毒分析 目录Synaptics 蠕虫病毒分析文件信息资源文件执行流程TFormVir_FormCreateControlCenter_49A3E01、释放EXERESX并执行 ==》exec_exeres_477AD82、InjUpdate3、程序已经运行则结束进程4、初始
阅读全文
摘要：**某gobfuscate 混淆样本 静态分析** > gobfuscate 主要对字符信息进行混淆，并不能起到有效的对抗效果； 可结合函数签名、runtime type infomation进行分析。 [toc] # IDA pro准备工作 ~~新版本对go分析效果大有改进，充值变强~~ ## L
阅读全文
摘要：BlackLotus 分析3--http_downloader inject_into_winlogon MZ魔术字改为HC的PE文件 start 反调试和反沙箱部分与安装器相同 __int64 start() { NtSetInformationThread((HANDLE)0xFFFFFFFFF
阅读全文
摘要：BlackLotus 分析2--boot-内核阶段 [BlackLotus 分析1--安装器阶段](BlackLotus 分析1--安装器阶段 - DirWangK - 博客园 (cnblogs.com)) LegacyBIOS→MBR→“活动的主分区”→\bootmgr→\Boot\BCD→\Wi
阅读全文
摘要：BlackLotus 分析1--安装器阶段 文件信息 BlackLotus installer. sha1 :a5a530a91100ed5f07a5d74698b15c646dd44e16 start __int64 start() { //ThreadHideFromDebugger 反调试 N
阅读全文
摘要：PLAY ransom ware 采用RSA1024+AES-256， 样本hash： 608e2b023dc8f7e02ae2000fc7dbfc24e47807d1e4264cbd6bb5839c81f91934 函数混淆 函数混淆示例 .text:004142A0 push ebp .text
阅读全文
摘要：MortalKombat勒索软件分析 MortalKombat属于Xorist家族，采用tea加密，可解密 start WPARAM __userpurge start@<eax>(int a1@<ebp>, int a2, int a3, int a4, int a5) { // [COLLAPS
阅读全文
摘要：ZFX ZFX是Makop 勒索变种，采用RSA1024+AES-256-CBC，随机生成2个32字节的AESKEY,文件加密时随机生成新IV，轮询AESKEY，并使用内置公钥将AESKEY加密存储。没有私钥则无法解密文件。 文件信息 dialog 样本来源https://bbs.kafan.cn/
阅读全文
摘要：Dll劫持27号导出函数,?startLogging@fde@@YAXPB_W@Z fde::startLogging fde::startLogging dump Dump出来是upx压缩，无魔改 简单分析 c2 ? 首次应该是 尝试连接d.nkking.com 失败就切换 192.168.1.2
阅读全文
摘要：基本信息 QQExternal.exe加载tinyxml.dll 伪造证书 pdb信息 E:\其它文件\InternetRedirectNew\tinyxmlHook\Release\tinyxml.pdb dllmain 流程 创建服务 服务信息: MicrosoftSetupSystemTask
阅读全文
摘要：Dll劫持，RobocraftBase.dll，调用1号导出函数 LzSetArchive() load_10002BC0 加载加密的jibmao.xml文件 SRDI_10003320
阅读全文
摘要：Tricephalic Hellkeeper: a tale of a passive backdoor下载链接 最近学习ebpf看到篇样本分析"Tricephalic Hellkeeper: a tale of a passive backdoor",记录一下 隐蔽通信利用过滤特定包，类似有: c
阅读全文
摘要：数据结构 利用qiling 分析 httpstager shellcode import os from typing import Dict from qiling import * from qiling.const import * from unicorn import * from uni
阅读全文
浙公网安备 33010602011771号