查看: 54495|回复: 1919

B6BF.tmp.exe分析

[复制链接]
发表于 2016-2-1 20:05:09 | 显示全部楼层 |阅读模式
【挂马 加密勒索】病毒木马
行为分析:
先看下关键行为
125816fvi20b91hisvzp9e.png

先说一下插入APC(异步过程调用)
APC : asynchronous procdure call 异步过程调用
    Alertable IO(告警IO)提供了更有效的异步通知形式。ReadFileEx / WriteFileEx在发出IO请求的同时,
    提供一个回调函数(APC过程),当IO请求完成后,一旦线程进入可告警状态,回调函数将会执行
    以下五个函数能够使线程进入告警状态:
    SleepEx
    WaitForSingleObjectEx
    WaitForMultipleObjectsEx
    SignalObjectAndWait
    MsgWaitForMultipleObjectsEx
    线程进入告警状态时,内核将会检查线程的APC队列,如果队列中有APC,将会按FIFO方式依次执行。
    如果队列为空,线程将会挂起等待事件对象。以后的某个时刻,一旦APC进入队列,线程将会被唤醒
    执行APC,同时等待函数返回WAIT_IO_COMPLETION。
    QueueUserAPC可以用来人为投递APC,只要目标线程处于告警状态时,APC就能够得到执行。
    使用告警IO的主要缺点是发出IO请求的线程也必须是处
理结果的线程,如果一个线程退出时还有
    未完成的IO请求,那么应用程序将永远丢失IO完成通知。
    PS:Each thread has its own APC queue. The queuing of an APC is a request for the thread to call the APC function. The operating system issues a software interrupt to direct the thread to call the APC function.

-----------------------
既然有APC实现模块注入,而且是svchost.exe,值得怀疑


---------------------------------------

130331bhnokqeneloi2aae.png 130331pshb49v1om4z9ejg.png

进程行为就是svchost.ex相关
文件/注册表行为:可执行文件并且设置启动项,并且找到系统关键目录和svchost.exe
--------------------------------------------------------------------
这里是其他行为:
130620jt1x2117go11l1lv.png
不解释
------------------------------------------------
类型:AdWare.W32.Gamevance
查杀报告:https://www.virustotal.com/en/fi ... nalysis/1453858382/
分析报告:http://habo.qq.com/file/showdetail?pk=ADQGZV1sB2EIMFs%2B
-----------------------------End-----------------------------------

评分

参与人数 2i币 +19 收起 理由
道生 + 2 感谢分享
xiaoye + 17 支持原创

查看全部评分

回复

使用道具 举报

发表于 2016-2-1 21:51:58 | 显示全部楼层
感谢楼主的分享~
回复 支持 反对

使用道具 举报

发表于 2016-2-2 14:07:39 | 显示全部楼层
回复 支持 反对

使用道具 举报

发表于 2016-2-2 14:45:30 | 显示全部楼层
回复 支持 反对

使用道具 举报

发表于 2016-2-2 20:57:40 | 显示全部楼层
支持,看起来不错呢!
回复 支持 反对

使用道具 举报

发表于 2016-2-2 23:05:58 | 显示全部楼层
支持,看起来不错呢!
回复 支持 反对

使用道具 举报

发表于 2016-2-2 23:53:42 | 显示全部楼层
编程大牛啊 !
回复 支持 反对

使用道具 举报

发表于 2016-2-3 10:23:57 | 显示全部楼层
可以啊,小伙子有前途的额
回复 支持 反对

使用道具 举报

发表于 2016-2-3 13:09:53 | 显示全部楼层
感谢楼主的分享~
回复 支持 反对

使用道具 举报

发表于 2016-2-3 22:02:11 | 显示全部楼层
学习学习技术,加油!
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册

本版积分规则

指导单位

江苏省公安厅

江苏省通信管理局

浙江省台州刑侦支队

DEFCON GROUP 86025

旗下站点

邮箱系统

应急响应中心

红盟安全

联系我们

官方QQ群:112851260

官方邮箱:security#ihonker.org(#改成@)

官方核心成员

Archiver|手机版|小黑屋| ( 沪ICP备2021026908号 )

GMT+8, 2025-3-7 06:23 , Processed in 0.024423 second(s), 17 queries , Gzip On, MemCache On.

Powered by ihonker.com

Copyright © 2015-现在.

  • 返回顶部