时刻留意进程的远程注入

1.在你运行恶意代码可执行文件时，会发生什么？

使用procmon监控系统行为

并没有发现有什么可疑的行为，我们进入procexp观察

 

也并没有发现什么可疑的进程

2.哪个进程会被注入？

这里我们进入ida进行分析

 

 

 

 

 

 

进程：一个正在运行的程序实例 模块：加载进这个进程虚拟内存里面的pe文件

这里其实有一个笔误是比较模块名称是否与explorer.exe相等，因为进程启动时exe本身就是进程加载的第一个模块，后续加载的是各种dll，这里是拿第一个模块名字判断进程

 

 

需要一提的是这个buffer在上面分析得到的是拼接的dll的系统路径，这里写入内存的内容并不是dll中的内容只是dll的路径

 

所以我们可以知道它注入的程序是explorer.exe，如果想要他失效只需要重启电脑/从procexp中搜索lab12-01.dll直接杀死它再重启explorer.exe就好

3.这个恶意样本是如何工作的？

 

 

 

所以它的行为是创建一个线程来执行每60s创建一个线程来调用messagebox函数弹窗。