吾愛破解 - LCG - LSG |安卓破解|病毒分析|破解軟件|pipinga.com

 找回密碼
 注冊[Register]

QQ登錄

只需一步,快速開始

搜索
查看: 3816|回復: 39

[PC樣本分析] 遠程監控軟件的行為分析

  [復制鏈接]
樓主
ghostsang 發表于 2020-3-26 16:58 回帖獎勵
使用論壇附件上傳樣本壓縮包時必須使用壓縮密碼保護,壓縮密碼:52pojie,否則會導致論壇被殺毒軟件等誤報,論壇有權隨時刪除相關附件和帖子!
本帖最后由 ghostsang 于 2020-3-26 17:21 編輯

樣本帖子:http://pipinga.com/thread-1125431-1-1.html
分析的為飛機閃退,全國那個東西就是個遠控安裝. 安裝的名稱都叫被控端


飛機內文件:

微聊啟動: 釋放的隱藏的dll
潮信界面:
文件執行6月數據行為

執行的命令:C:\Users\ADMINI~1\AppData\Roaming\whstdk\whstwk.exe" -setmac'
"C:\Users\ADMINI~1\AppData\Roaming\whstdk\whstwk.exe" -iniconvert "comnctt.xdt" "expiorer.xdt"'
"C:\Windows\System32\netsh.exe" advfirewall firewall delete rule name="whstwk"''
"C:\Windows\System32\netsh.exe" advfirewall firewall add rule name=whstwk dir=in action=allow program="C:\Users\Administrator\AppData\Roaming\whstdk\whstwk.exe" profile=any'
"C:\Users\ADMINI~1\AppData\Roaming\whstdk\wqnms.exe" -i qafty "Network Access Driver" "用于與系統網絡驅動交換管理信息。如果此服務被禁用,任何依賴它的服務將無法啟動。"'
"C:\Users\ADMINI~1\AppData\Roaming\whstdk\spool\wqprs.exe" -i tayrw "Security Driver Service" "用于硬件驅動間交換管理信息。如果此服務被禁用,任何依賴它的服務將無法啟動。"'
寫入自啟動:

啟動的消息鉤子:

鍵盤監聽:


端口監聽.

將操作記錄寫入自身的文件夾下:


操作記錄的內容:

當直接啟動飛機閃退后.當前面的操作執行完.
LogonUI直接關鍵電腦

一個簡單的分析初投稿,請大佬多多指教

image.png (31.13 KB, 下載次數: 0)

image.png

image.png (42.41 KB, 下載次數: 1)

image.png

image.png (9.84 KB, 下載次數: 1)

image.png

鍵盤監聽寫入文件.png (20.34 KB, 下載次數: 3)

鍵盤監聽寫入文件.png

免費評分

參與人數 11吾愛幣 +15 熱心值 +11 收起 理由
請叫我野區霸主 + 1 + 1 熱心回復!
MythBen + 1 用心討論,共獲提升!
雷電派蒙° + 1 + 1 用心討論,共獲提升!
Hmily + 7 + 1 歡迎分析討論交流,吾愛破解論壇有你更精彩!
輕冬云 + 1 + 1 用心討論,共獲提升!
jay20070223 + 1 + 1 我很贊同!
smile5 + 1 用心討論,共獲提升!
你猜! + 1 + 1 用心討論,共獲提升!
xuwenyi + 1 + 1 熱心回復!
一葉知秋? + 1 + 1 騷操作
qw124838 + 1 + 1 用心討論,共獲提升!

查看全部評分

發帖前要善用論壇搜索功能,那里可能會有你要找的答案或者已經有人發布過相同內容了,請勿重復發帖。

推薦
third1979 發表于 2020-3-27 12:32
sadffg 發表于 2020-3-26 17:28
我看到了,這個文章很可靠。以前玩灰鴿子,現在不知道怎么樣了

現在還有當時做的鴿子免殺DAT,不過早就沒用了,不知道現在用啥遠控,感覺那時候的PCSHARE上線挺快的,就是不穩定
推薦
w2010d 發表于 2020-3-27 13:39
third1979 發表于 2020-3-27 12:32
現在還有當時做的鴿子免殺DAT,不過早就沒用了,不知道現在用啥遠控,感覺那時候的PCSHARE上線挺快的,就 ...

現在用cobaltstrike
沙發
 樓主| ghostsang 發表于 2020-3-26 17:05 <
3#
sadffg 發表于 2020-3-26 17:28
我看到了,這個文章很可靠。以前玩灰鴿子,現在不知道怎么樣了
4#
那年夏天52 發表于 2020-3-26 17:40
這個6666666
5#
遞推劃歸 發表于 2020-3-26 18:02
求問這是干啥的
6#
bbcisbest 發表于 2020-3-26 19:30
更新國外版本?
7#
青蘇之戀 發表于 2020-3-26 20:10
雖然看不懂但還是支持一下
8#
wangzihang 發表于 2020-3-26 20:21
求問這是干啥的
9#
Strugglion 發表于 2020-3-26 20:51
不明覺厲,支持一下
10#
隨緣命運 發表于 2020-3-26 22:41
不錯,學習了
您需要登錄后才可以回帖 登錄 | 注冊[Register]

本版積分規則 警告:本版塊禁止灌水或回復與主題無關內容,違者重罰!

快速回復 收藏帖子 返回列表 搜索

RSS訂閱|小黑屋|聯系我們|吾愛破解 - LCG - LSG ( )

GMT+8, 2020-4-5 13:04

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回復 返回頂部 返回列表
吉林快三-Welcome 天津快三-Home 贵州快三-广西快三 体彩快三-推荐 福彩快三-官网 彩神快三-欢迎您 广西11选5-安全购彩 江西11选5-Welcome 3分11选五-Home 5分11选五-广西快三