能力值：
( LV2，RANK：10 )
|
-
-
2 楼
现在毒多，我都头疼，谁给我插个U盘，都能让我抽半天
|
能力值：
![]()
(RANK：990 )
|
-
-
3 楼
原程序是用 NSIS 制作的安装文件，其作用就是同时解压里面的两个文件并执行。解包后有两个文件：llk.exe(Microsoft Visual C++ 7.0，是个连连看的游戏，正常程序)，setup5891.exe(FSG 2.0 的壳)。看 setup5891.exe。
脱壳后的文件里面的 DATA 段包含了一个 DLL，可以直接用16进制工具复制出来。从偏移 0x40A0 处选择大小为 0x3B800 的数据，另存为 Clinet001.dll（这个就是复制到系统目录下的 SysAdsnwt.dll）。IDA 静态分析一下脱壳后的文件，可获取以下信息：
首先获取系统目录，如 C:\WINDOWS\system32，复制一个名为 SysAdsnwt.dll 的文件过去。然后在注册表中添加服务：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS\Parameters 中添加 ServiceDll 项。
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\BITS\Parameters 中添加 ServiceDll 项。
现在看那个 Clinet001.dll。这个 DLL 就是马的主体了。其检测360，从 9c8K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4S2#2j5X3q4G2j5X3!0@1i4K6u0W2x3K6x3J5x3W2)9J5k6h3!0J5k6#2)9J5c8R3`.`. 下载文件到 C:\WINDOWS\ 并执行，应该是专门用来下载病毒的。解码了里面的几个 URL：
86fK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4S2#2j5X3q4G2j5X3!0@1i4K6u0W2x3K6x3J5x3W2)9J5k6h3!0J5k6#2)9J5c8X3W2X3k6i4S2A6N6s2y4Q4x3X3g2H3K9s2m8Q4x3@1k6A6K9r3q4J5k6r3y4G2k6r3g2Q4x3@1b7H3x3q4)9J5k6o6f1H3i4K6u0V1y4e0k6Q4x3X3c8o6x3q4)9J5k6o6l9H3i4K6u0V1x3o6p5`.
268K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4S2#2j5X3q4G2j5X3!0@1i4K6u0W2x3K6x3J5x3W2)9J5k6h3!0J5k6#2)9J5c8Y4S2@1K9h3#2W2i4K6u0W2M7r3S2H3i4K6y4r3K9h3S2S2M7X3c8U0L8$3c8W2i4K6y4p5x3o6m8Q4x3X3b7#2x3q4)9J5k6o6f1$3i4K6u0V1b7K6m8Q4x3X3b7H3x3q4)9J5k6o6l9I4
d7bK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4S2#2j5X3q4G2j5X3!0@1i4K6u0W2x3K6x3J5x3W2)9J5k6h3!0J5k6#2)9J5c8X3#2K6k6q4)9J5k6i4m8Z5M7l9`.`.
418K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4S2#2j5X3q4G2j5X3!0@1i4K6u0W2x3K6x3J5x3W2)9J5k6h3!0J5k6#2)9J5c8Y4g2H3k6r3q4@1k6g2)9J5k6i4m8Z5M7q4)9K6c8X3W2Z5j5i4u0V1j5$3!0V1k6g2)9K6c8o6l9H3i4K6u0V1y4e0m8Q4x3X3b7#2y4W2)9J5k6p5x3H3i4K6u0V1x3o6m8Q4x3X3b7H3x3b7`.`.
可惜都不能访问。
至于修改 IE 主页，没看到相关代码，应该是你运行其他程序出的问题。
附件包含木马原样本、脱壳后的文件、从里面抽出来的 Clinet001.dll 及简单的分析。
解压密码： muma
|
能力值：
( LV9，RANK：1140 )
|
-
-
4 楼
解压密码多少呢
|
能力值：
( LV9，RANK：290 )
|
-
-
5 楼
副坛主很强啊，一天就分析出来了
|
能力值：
![]()
(RANK：990 )
|
-
-
6 楼
这东西分析起来很快的，壳脱了IDA看一下就大致差不多了。就是想看看人家那个网站上还有啥，呵呵
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
很强大,菜鸟刚开始学习
|
能力值：
( LV9，RANK：1140 )
|
-
-
8 楼
啊？我还以为有idb学习一下！！！！！！！！！看来还得自己动手！原来是个后门！
难道是………………
后台智能传送服务 (BITS) 是一个 Windows 组件，它可以在前台或后台异步传输文件，为保证其他网络应用程序获得响应而调整传输速度，并在重新启动计算机或重新建立网络连接之后自动恢复文件传输。
通过BITS可以实现与IIS服务器相互传输文件，但是不影响你浏览页面，也就是可以做到同步或者异步。
安装微软Win2000以上系统并打开自动更新以后，系统会自动下载并安装后台智能传送服务用来下载系统更新。正常情况下可以允许安装。
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
非常感谢CCDebuger的帮助
我调试这个setup5891.exe时觉得很奇怪，因为这个EXE只是新增了一个服务，然后生成了一个DLL，然后就好像结束了。
现在我的理解是BITS这个服务呢是随系统启动的，启动之后就会运行DLL文件，然后病毒就发作了，我这样理解对吗?
然后IE被修改的问题应该不是这个EXE引起的，因为我找到另外一个EXE文件，里面是有53dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6e0j5%4x3o6m8Q4x3X3g2U0L8W2!0q4y4g2!0m8c8q4)9&6y4#2!0q4y4W2!0m8x3q4!0n7y4#2!0q4y4#2)9&6b7g2)9^5y4q4!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4g2)9^5z5q4)9&6c8q4!0q4y4W2!0m8c8q4!0m8y4g2!0q4y4g2)9^5z5q4)9^5y4W2!0q4y4W2)9&6c8g2)9&6x3q4!0q4y4g2!0n7b7g2)9&6y4q4!0q4z5q4!0m8c8W2!0m8y4g2!0q4y4g2!0n7x3q4!0n7x3g2!0q4y4W2)9&6z5q4!0m8c8W2!0q4z5q4!0n7c8W2)9&6z5g2!0q4y4q4!0n7z5q4!0m8b7f1g2j5c8g2!0q4y4W2)9&6x3q4)9&6c8g2!0q4y4g2!0n7c8g2)9&6y4#2!0q4z5g2!0m8b7#2!0n7b7#2!0q4x3#2)9^5x3q4)9^5x3R3`.`.
再次感谢CCDebuger的指点~
^_^
PS:
CCDebuger你真是太强了，我是动态调试，一条条指令跟，然后根据调用的API分析，哎，惭愧，惭愧~
|
能力值：
( LV5，RANK：60 )
|
-
-
10 楼
呵呵...
原来是这玩意啊...
这是个远程控制的木马...
我曾经看过这玩意的源码...
|
能力值：
( LV9，RANK：170 )
|
-
-
11 楼
驱动马~
5d3K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6e0j5%4x3o6m8Q4x3X3g2U0L8W2!0q4y4W2)9&6y4q4!0n7z5g2!0q4y4q4!0n7z5q4!0n7b7W2!0q4z5g2!0m8x3g2!0n7y4g2!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4g2)9^5y4g2!0n7x3#2!0q4z5g2)9&6y4q4!0m8c8g2!0q4y4g2)9&6b7#2!0m8z5q4!0q4y4q4!0n7b7g2)9^5c8g2!0q4z5g2!0m8z5g2!0n7x3g2!0q4y4g2)9^5b7g2!0m8z5q4!0q4x3#2)9^5x3q4)9^5x3W2!0q4x3#2)9^5x3q4)9^5x3R3`.`.
另外，还有快速启动栏的快捷方式被修改了。。
如果还未修复过来的话，可以用一下这个工具ef4K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3c8D9i4K6u0W2x3K6j5H3M7$3q4X3k6g2)9J5k6h3y4G2L8g2)9J5c8U0x3$3x3r3y4G2L8i4m8C8K9h3I4D9i4K6u0W2P5X3W2H3
或是自己手工用冰刃清除。。
|
能力值：
( LV4，RANK：50 )
|
-
-
12 楼
CCDebuger分析的透彻 学习~
|
能力值：
( LV2，RANK：10 )
|
-
-
13 楼
改主页。。。。
HO 难道浏览器遭劫，冰忍可以看下BHO。
|
能力值：
( LV2，RANK：10 )
|
-
-
14 楼
学习了，思路不错啊
|
能力值：
( LV17，RANK：1820 )
|
-
-
15 楼
路过留名 ……
|
|
|
|
，请牛人帮忙分析一下
。
