挂个疑似病毒文件，求分析

ZWHY

有谁帮忙分析下吗
链接: https://pan.baidu.com/s/1q7BAL7dUZoPngb0GnFpCKQ
提取码: 6qpr

你与明日

exe只是外层壳,里面有个远控,是DLL来的,抓到关键DLL的方法
00402307  | 68 CF070000          | push 0x7CF                              0xCF是解密 KEY
0040230C  | BE 78854000          | mov esi,408578                       远控DLL地址      
00402311  | 68 A34F0100          | push 0x14FA3                          远控DLL的大小      
00402316  | 56                           | push esi                                 
00402317  | E8 93EDFFFF          | call 0x4010AF                            解密CALL
0040231C  | 56                          | push esi                                    在此下断可对 408578 的DLL进行DUMP

sunning-H-C

大佬来分析下~

ZWHY

sunning-H-C 发表于 2021-2-25 18:18
违规了，禁止变相上传附件，加密码就行。

感谢提醒

sunning-H-C

ZWHY 发表于 2021-2-25 19:37
感谢提醒

不客气，修改了就好

热心市民二狗

sunning-H-C 发表于 2021-2-25 20:18
赶紧改一下吧，如果悬赏帖违规了悬赏的cb不退还

大哥是好人，爱了爱了

xcsghhz

这个程序会解密一个DLL然后调用，DLL在互联网下载一个程序并运行但是URL不见了所以下载失败；
然后会进行socket连接，接收与解密数据，应该就是楼上说的远控；
会拷贝自身到系统目录下，根据调试来看应该还存在另一个DLL，同样会进行伪装后拷贝到系统目录