发现挂钩就要提高警惕

首先观察到这个文件的导入函数中有setwindowshook，发现挂钩就要提高警惕，我们点击观察它附近的代码.

 

 

 

 这里创建了一个log文件来记录

 

 

 

 

1.这个恶意负载的目的是什么？

通过分析可以看出来恶意负载实际上是一个键盘的记录器，根据不同的vkcode去跳转表跳转执行自己的操作。

2.恶意负载是如何注入自身的？

使用了setwindowhook来挂钩，注意进程如果结束了钩子会被系统自动卸载，所以这里的循环+getmessage既是ll钩子回调必须实现的操作也是一种保活的机制

3.这个程序还创建了哪些其他文件？

还创建了一个log文件来记录键盘输入