吾爱破解 - LCG - LSG |安卓破解|病毒分析|破解软件|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

搜索
查看: 4040|回复: 39

[PC样本分析] 远程监控软件的行为分析

  [复制链接]
ghostsang 发表于 2020-3-26 16:58
使用论坛附件上传样本压缩包时必须使用压缩密码保护,压缩密码:52pojie,否则会导致论坛被杀毒软件等误报,论坛有权随时删除相关附件和帖子!
本帖最后由 ghostsang 于 2020-3-26 17:21 编辑

样本帖子:https://www.52pojie.cn/thread-1125431-1-1.html
分析的为飞机闪退,全国那个东西就是个远控安装. 安装的名称都叫被控端
样本.png

飞机内文件:
飞机压缩包.png
微聊启动: 潮信检测.png 释放的隐藏的dll
DLL文件.png 潮信界面: 潮信界面.png
文件执行6月数据行为
6月数据启动.png 6月数据启动2.png
执行的命令:C:\Users\ADMINI~1\AppData\Roaming\whstdk\whstwk.exe" -setmac'
"C:\Users\ADMINI~1\AppData\Roaming\whstdk\whstwk.exe" -iniconvert "comnctt.xdt" "expiorer.xdt"'
"C:\Windows\System32\netsh.exe" advfirewall firewall delete rule name="whstwk"''
"C:\Windows\System32\netsh.exe" advfirewall firewall add rule name=whstwk dir=in action=allow program="C:\Users\Administrator\AppData\Roaming\whstdk\whstwk.exe" profile=any'
"C:\Users\ADMINI~1\AppData\Roaming\whstdk\wqnms.exe" -i qafty "Network Access Driver" "用于与系统网络驱动交换管理信息。如果此服务被禁用,任何依赖它的服务将无法启动。"'
"C:\Users\ADMINI~1\AppData\Roaming\whstdk\spool\wqprs.exe" -i tayrw "Security Driver Service" "用于硬件驱动间交换管理信息。如果此服务被禁用,任何依赖它的服务将无法启动。"'
写入自启动:
自启动.png
启动的消息钩子:
线程挂钩.png
键盘监听:
键盘监听.png

端口监听.
端口监听.png
将操作记录写入自身的文件夹下:
写入的文件.png

操作记录的内容:
文件内容.png
当直接启动飞机闪退后.当前面的操作执行完.
LogonUI直接关键电脑
关机.png
一个简单的分析初投稿,请大佬多多指教
image.png
image.png
image.png
键盘监听写入文件.png

免费评分

参与人数 12吾爱币 +16 热心值 +12 收起 理由
lxhwan100 + 1 + 1 谢谢@Thanks!
请叫我野区霸主 + 1 + 1 热心回复!
MythBen + 1 用心讨论,共获提升!
雷电派蒙° + 1 + 1 用心讨论,共获提升!
Hmily + 7 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
轻冬云 + 1 + 1 用心讨论,共获提升!
jay20070223 + 1 + 1 我很赞同!
smile5 + 1 用心讨论,共获提升!
你猜! + 1 + 1 用心讨论,共获提升!
xuwenyi + 1 + 1 热心回复!
一叶知秋? + 1 + 1 骚操作
qw124838 + 1 + 1 用心讨论,共获提升!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

third1979 发表于 2020-3-27 12:32
sadffg 发表于 2020-3-26 17:28
我看到了,这个文章很可靠。以前玩灰鸽子,现在不知道怎么样了

现在还有当时做的鸽子免杀DAT,不过早就没用了,不知道现在用啥远控,感觉那时候的PCSHARE上线挺快的,就是不稳定
w2010d 发表于 2020-3-27 13:39
third1979 发表于 2020-3-27 12:32
现在还有当时做的鸽子免杀DAT,不过早就没用了,不知道现在用啥远控,感觉那时候的PCSHARE上线挺快的,就 ...

现在用cobaltstrike
 楼主| ghostsang 发表于 2020-3-26 17:05
这个截图上传变的巨小...还有上传失败了..尴尬
sadffg 发表于 2020-3-26 17:28
我看到了,这个文章很可靠。以前玩灰鸽子,现在不知道怎么样了
那年夏天52 发表于 2020-3-26 17:40
这个6666666
递推划归 发表于 2020-3-26 18:02
求问这是干啥的
bbcisbest 发表于 2020-3-26 19:30
更新国外版本?
青苏之恋 发表于 2020-3-26 20:10
虽然看不懂但还是支持一下
wangzihang 发表于 2020-3-26 20:21
求问这是干啥的
Strugglion 发表于 2020-3-26 20:51
不明觉厉,支持一下
随缘命运 发表于 2020-3-26 22:41
不错,学习了
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2020-4-10 17:32

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表