Lab03-02

目录

• 样本信息
  • 字符串信息
  • 导入表信息
  • 导出表信息
• 样本分析
• 查杀思路
• 总结
• 技巧

样本信息

字符串信息

导入表信息

导出表信息

样本分析

• Install函数
  

• ServiceMain函数
  

• SetAgent
  

• 创建工作线程
  

• ThreatProc
  

线程功能
连接C2，接收C2指令（Y29ubmVjdA（继续下一次接收）、cXVpdA（关机）、Y21k(执行后门函数)）

• BackDoorFun
  

查杀思路

• 删除注册表键：
  HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Service/IPRIP下的
  Description
  DepenOnService
  HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Service/IPRIP/Parame

总结

服务里可以执行很多代码。可以实现长久驻留。

技巧

调试dll,强制调用dll中的导出函数（可设置参数，记得设置断点）

• 可以附加调试svchost