首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
中了个马
发表于: 2016-4-6 15:28 3815

中了个马

火勺 活跃值
2016-4-6 15:28
3815
今个用XT看网络，看到它联网，在线搜索是马，谁给我看下

[培训]科锐逆向工程师培训第53期2025年7月8日开班！

上传的附件：
收藏
免费 ・0
支持
分享
最新回复 (6)
我是哥布林
雪    币： 949
活跃值： (2640)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
2 楼
刚刚逆向了一下，病毒好像在内存里解密了一个地址http：//61.147.88.94:81/jmp.jpg
2016-4-6 21:15
0
火勺
雪    币： 96
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
恩，在线分析的说释放一个jmp.dll到AppPatch目录，我刚刚一看真有，赶紧删掉安装360杀杀。不知道这个是什么马，我的电脑没有异常，会不会把我代码都偷走了。
2016-4-6 21:43
0
我是哥布林
雪    币： 949
活跃值： (2640)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
4 楼
嗯，下载jpg以后在C:\programfile\apppatch\下，并且把后缀名jpg改为dll，应该是个易语言的小程序
2016-4-6 22:16
0
rechine
雪    币： 699
活跃值： (1081)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
下载了个JMP.JPG，改名为JMP.dll放到C:\Program Files\AppPatch目录。动态加载这个文件，解密。解密后dll的文件大小和JPG差不多，是个UPX加壳的dll，脱掉后大小700K+，看文件属性，我去，竟然是 Kugou2012，版本7.1.43.14654，不会传图，算了，不管了。。睡觉。
2016-4-7 00:51
0
夜Wang
雪    币： 110
活跃值： (209)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
利用异常处理调用自己主要函数的？SetUnhandledExceptionFilter ?
2016-4-7 09:30
0
xinxinqing
雪    币： 1234
活跃值： (317)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
2016-4-7 09:39
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回