浪子_三少(邮箱:basketwill@qq.com)

原创 一个钓鱼木马的分析（二）

这个木马隐蔽性很强，内存中不存在任何明文字符串，很难用内存搜索去搜索一些明显字符串，内存的数据都是加密存在需要时才解密，然后立即释放，不会长期驻留在内存，所有的内容计算校验使用的是hash值来对比查找，而且还是用双重加密，给分析人员增加了不小的难度，             上次讲到此木马在内存里有个加密的pe文件存在，接下来我们就来讲解这个从内存里扣出来的pe文件到底怎么工作的。