本文记录了一次对使用Agent Tesla生成的.NET木马的分析过程。程序由C#编写，包含图片和DLL资源。运行时，DLL在内存中释放并解密图片中的隐藏PE文件，用于执行窃密操作。通过dnspy静态分析及调试，揭示了解密和执行流程，包括设置计划任务、解密PE文件以及窃取用户信息等恶意行为。
前言
原来没有分析过.net的恶意程序，偶然发现了一个使用了Agent Tesla间谍软件生成的木马，看到有不少分析的文章了，就自己分析一下，记录一下分析过程。
描述
原始文件是由c#编写的，内部包含两个资源，一个是图片，另一个是DLL文件。程序运行时会先将DLL文件在内存中释放出来。然后在DLL文件中使用解密函数将图片中隐藏的文件解密出来。隐藏的文件会设置计划任务，并解密出来一个PE文件来执行窃密操作。
.net分析
静态查看
使用dnspy对.net文件进行调试，https://github.com/0xd4d/dnSpy/releases ，在这里进行下载。
dnspy左侧是一些程序集，右侧是程序集对应的代码
先静态看看有什么内容，发现有两个资源，一个是图片，另一个似乎是PE文件
关键函数应该是这里
最低0.47元/天 解锁文章
228
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
