远程监控软件的行为分析

ghostsang · 发表于 2020-3-26 16:58

本帖最后由 ghostsang 于 2020-3-26 17:21 编辑

样本帖子:https://www.52pojie.cn/thread-1125431-1-1.html
分析的为飞机闪退,全国那个东西就是个远控安装. 安装的名称都叫被控端
样本.png

飞机内文件:

微聊启动:

释放的隐藏的dll

潮信界面:

文件执行6月数据行为
6月数据启动.png

执行的命令:C:\Users\ADMINI~1\AppData\Roaming\whstdk\whstwk.exe" -setmac'
"C:\Users\ADMINI~1\AppData\Roaming\whstdk\whstwk.exe" -iniconvert "comnctt.xdt" "expiorer.xdt"'
"C:\Windows\System32\netsh.exe" advfirewall firewall delete rule name="whstwk"''
"C:\Windows\System32\netsh.exe" advfirewall firewall add rule name=whstwk dir=in action=allow program="C:\Users\Administrator\AppData\Roaming\whstdk\whstwk.exe" profile=any'
"C:\Users\ADMINI~1\AppData\Roaming\whstdk\wqnms.exe" -i qafty "Network Access Driver" "用于与系统网络驱动交换管理信息。如果此服务被禁用，任何依赖它的服务将无法启动。"'
"C:\Users\ADMINI~1\AppData\Roaming\whstdk\spool\wqprs.exe" -i tayrw "Security Driver Service" "用于硬件驱动间交换管理信息。如果此服务被禁用，任何依赖它的服务将无法启动。"'
写入自启动:
自启动.png