-
-
[求助]一个可疑的自启DLL，求分析。
-
发表于: 2014-5-26 00:54
-
有一个启动项通过rundll32运行目录里的Bitkokomap.dll.
这个DLL通过访问指定的微博账号(f21K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4c8Q4x3X3g2I4M7g2)9J5k6h3y4G2L8g2)9J5c8X3f1I4x3e0l9$3y4K6x3K6x3U0t1^5i4K6t1&6i4@1f1%4i4K6W2m8i4K6R3@1i4@1f1^5i4@1t1#2i4K6R3@1i4@1f1$3i4K6V1$3i4K6V1&6i4@1f1&6i4K6R3%4i4K6S2o6i4@1f1%4i4K6W2m8i4K6R3@1d9g2m8Q4c8e0g2Q4z5f1y4Q4b7U0m8Q4c8e0g2Q4z5f1c8Q4z5o6m8Q4c8e0S2Q4b7V1k6Q4z5f1u0Q4c8e0S2Q4b7e0q4Q4z5p5y4Q4c8e0S2Q4b7V1k6Q4z5f1g2Q4c8e0k6Q4z5p5g2Q4b7e0g2Q4c8e0W2Q4z5o6m8Q4z5f1q4Q4c8e0c8Q4b7V1k6Q4b7e0q4Q4c8e0y4Q4z5o6m8Q4z5o6t1`.
运行后通过任务管理器获取的命令行和process explorer获取的命令行不同，应该是修改PEB了。
求分析。
这个DLL通过访问指定的微博账号(f21K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4c8Q4x3X3g2I4M7g2)9J5k6h3y4G2L8g2)9J5c8X3f1I4x3e0l9$3y4K6x3K6x3U0t1^5i4K6t1&6i4@1f1%4i4K6W2m8i4K6R3@1i4@1f1^5i4@1t1#2i4K6R3@1i4@1f1$3i4K6V1$3i4K6V1&6i4@1f1&6i4K6R3%4i4K6S2o6i4@1f1%4i4K6W2m8i4K6R3@1d9g2m8Q4c8e0g2Q4z5f1y4Q4b7U0m8Q4c8e0g2Q4z5f1c8Q4z5o6m8Q4c8e0S2Q4b7V1k6Q4z5f1u0Q4c8e0S2Q4b7e0q4Q4z5p5y4Q4c8e0S2Q4b7V1k6Q4z5f1g2Q4c8e0k6Q4z5p5g2Q4b7e0g2Q4c8e0W2Q4z5o6m8Q4z5f1q4Q4c8e0c8Q4b7V1k6Q4b7e0q4Q4c8e0y4Q4z5o6m8Q4z5o6t1`.
运行后通过任务管理器获取的命令行和process explorer获取的命令行不同，应该是修改PEB了。
求分析。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
