一个盗号病毒的简单分析【盗号者服务器已经关闭】

china-loong · 发表于 2017-11-2 13:48

本帖最后由 china-loong 于 2017-11-13 14:19 编辑

今天刚上班就遇到同时在讲收到客户发来的合同报价单但是打开以后就提示要输入QQ密码，抱着好奇心理就打开文件调试，毕竟最近也一直在跟着学习OD。
废话不多说我们开始调试。

----------------------------

打开软件属性查看文件信息以及PEID查看是否加壳。
软件看起来无异常，我们打开软件查看一下。

软件打开几秒钟还没有弹出信息框，原本以为又是臭名远扬的RES加密文件系列，正打算恢复虚拟机的时候，主界面弹出。
有请我们的主界面：

要求输入密码，简单想了一下为什么没有账号，应该是程序刚刚在后台加载的时候调用内存查找本机在线的QQ账号没有找到所以呈现的空白。
随便输入密码弹出图片框（我觉得应该像是图片框）

请重新输入密码。

大概了解情况，我们载入OD调试。

查看中文搜索引擎

好吧看到这边就清楚了，易语言程序。  如果是这类的易语言程序而且是未加壳的应该都是新手，很好找到接收端信息
软件直接拖入TXT文档内搜索 @QQ @163 .com等常用的邮箱格式进行搜索
发现并没有之类的信息    出现此类问题应该是文字加密或者是其它传输方式  我不信你做出一个这软件就是一个纯粹的单机软件
返回OD我们继续寻找可用的信息

根据程序载入点断点找到文本

139.199.0.45
此地址应该是FTP连接或者HTTP直接连接
OD刚刚学习到第四课左右，很多东西还是一头雾水的，所以OD就不继续调试了，知道这个地址以后我们尝试用FTP登录此网址发现需要账号和密码因为技术有限账号密码也一直没有找到，为了再次确定这个IP地址的正确性我选用了WEP工具进行嗅探得到此地址为正确数据包传送地址而且端口号为5000

锁定IP地址以后进行搜索这个IP

百度腾讯云客服转人工假装自己是安全公司的病毒分析人员客服让我写报告单提交到腾讯云

腾讯技术人员很快给出答复此服务器已经被释放

最后贴出软件的下载地址：https://share.weiyun.com/8d56fc4d34dc43d34fb58972990f0b73（此地址为盗号软件下载地址）
---------------------
PS；不是我讲解的不够详细，而是我自己从头到尾都是云里雾里的。

补充很多和我一样的新手需要教程，我这边就公布一下，其实这些网上都能找得到若违规请联系我
链接：http://pan.baidu.com/s/1qYPvjcw 密码：wup9 (小甲鱼OD教程)
链接：http://pan.baidu.com/s/1jHTuRcU 密码：r5uj （小甲鱼OD教程课件）
密码是：fishc.com

Hmily · 发表于 2017-11-2 14:22

举报做得很好，分析那块可以再细一些。

china-loong · 发表于 2017-11-3 13:56

netCheney 发表于 2017-11-3 12:54
是真的没看懂。。。我说的一半儿就是文章里的纯汉字部分还有你说的小甲鱼的是什么教程？Pyth ...

链接：http://pan.baidu.com/s/1qYPvjcw 密码：wup9 (小甲鱼OD教程)
链接：http://pan.baidu.com/s/1jHTuRcU 密码：r5uj （小甲鱼OD教程课件）
密码是：fishc.com

祥子吧 · 发表于 2017-11-2 14:14

支持大神

machwf · 发表于 2017-11-2 14:19

谢谢分享，

mayl8822 · 发表于 2017-11-2 14:28

感谢分享

阿呆哥 · 发表于 2017-11-2 15:03

你们的客户很吊啊还盗号厉害了

野良神 · 发表于 2017-11-2 15:27

客户有一套哦！

china-loong · 发表于 2017-11-2 15:33

野良神发表于 2017-11-2 15:27
客户有一套哦！

应该也是用同类办法盗取客户的QQ号然后进行二次传播

china-loong · 发表于 2017-11-2 15:34

阿呆哥发表于 2017-11-2 15:03
你们的客户很吊啊还盗号厉害了

应该也是用同类办法盗取客户的QQ号然后进行二次传播

wbl525921 · 发表于 2017-11-2 15:35

遇到过，学习了

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 一个盗号病毒的简单分析【盗号者服务器已经关闭】

免费评分

本帖被以下淘专辑推荐:

免费评分

免费评分