SmokeLoader 快速分析

最新推荐文章于 2024-07-19 16:06:05 发布
最新推荐文章于 2024-07-19 16:06:05 发布
阅读量264 收藏
点赞数
分类专栏： windows 文章标签： windows
  • 概述

           SmokeLoader 通常用作恶意软件的加载程序。归属于犯罪集团 Smoky Spider，该集团分别使用 SmokeLoader 和 Sasfis（加载器和下载器）。SmokeLoader 已经被大量使用，并包含强大的反查能力以及反分析、反 VM 和反 DBG 技术。

  • 技术分析

    SmokeLoader 一般通过网络钓鱼散播。由钓鱼文档将生成 SmokeLoader，在其大多数版本中，都是把自己挂起注入后续代码，然后执行一个 explorer.exe。通用的框架如下：

样本的区段sections 熵比较高，一般情况下会被检测成被压缩过的：

全文请移步 gzh : TIPFactory情报工厂

SmokeLoader 快速分析

菜鸟m号
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
恶意样本分析实战——SmokeLoader
weixin_51409218的博客
08-29 278
恶意样本分析实战——SmokeLoader
Smoke Loader
时光途径
02-16 570
分析样品 此分析的主要重点是下面的示例，该示例由Rig EK删除： bce202c021feb61783563e21fc026767 –原始样本 d363e8356c82a1043bb300c12c6c7603 –已包装（第1阶段） 8932d2eacc4dfc7b2f0a94363a854610 –核心DLL（阶段2） 上面的示例下载： 有效负载： f60ba6b9d5285b834d844450b4db11fd –（这是一个IRC漫游器，C＆C：med-global-fox [DOT] com）
Smoke Loader、AZORult木马通过虚假海啸警报传播到了日本
mozhe_的博客
12-24 527
在上个月，FortiGuard Labs的研究人员发现了一起针对日本公民的垃圾电子邮件活动。这些电子邮件伪装成海啸警报，且均包含一个指向虚假日本气象厅（JMA）网站的恶意链接。点击这个链接，会导致Smoke Loader木马的下载。在针对这个虚假网站的持续监控过程中，研究人员发现，用于下载Smoke Loader的链接在11月底被一个新的链接所取代。这个新链接会导致另一种高性能木马AZORult的...
因为apple无法检查其是否包含恶意软件_抽丝剥茧玩逆向：逐步拆解Smoke Loader恶意软件...
weixin_39800112的博客
11-25 178
前言多年来，我持续在信息安全领域开展工作，为客户和SOC提供支持，在此过程中我持续接触着大量的告警和事件。其中，就存在一些值得关注的事件。近期，我们偶然发现了一个特定的Smoke Loader恶意软件样本。自2013年左右，Smoke Loader就开始流行，该恶意软件经常用于分发其他恶意组件或人工编写的代码。尽管这样的样本并不陌生，但这确实是一个很好的机会，可以让我们来重新审视这种威...
[转]攻击者如何利用Fast flux技术提高其基础设施的反检测能力，以逃避安全监测（二）
tpriwwq的专栏
01-19 390
我们继续来通过具体案例来分析。 对域的控制 Emilia只有一个选择，她不得不去加强对ralnbowbank[.]com域名本身的控制。Emilia有几个选择可以考虑，比如她可以向管理ralnbowbank[.]com的域名服务器(NS)运营商（TLD运营商称为注册管理机构）提出投诉，也可以向将域名出售给Mallory的经销商（注册商）提出投诉，要求他们删除恶意域。也可以使用统一域名争议解决政策（称为UDRP）或统一快速搁置（Uniform Rapid Suspension简称URS）。但是，与响应迅速
Smoke Loader、AZORult***通过虚假海啸警报传播到了日本
weixin_33811961的博客
12-24 115
在上个月，FortiGuard Labs的研究人员发现了一起针对日本公民的垃圾电子邮件活动。这些电子邮件伪装成海啸警报，且均包含一个指向虚假日本气象厅（JMA）网站的恶意链接。点击这个链接，会导致Smoke Loader***的下载。在针对这个虚假网站的持续监控过程中，研究人员发现，用于下载Smoke Loader的链接在11月底被一个新的链接所取代。这个新链接会导致另...
【入门基础】java泛型和通配符详解
最新发布
杰叔叔不是个好叔叔的博客
07-19 694
Java泛型（Generics）是JDK 5中引入的一个新特性，它提供了编译时类型安全检测机制，允许程序员在编译时检测到非法的类型。泛型的主要目的是在编译期间对类型进行检查，使得类型错误能在编译时而不是运行时被捕获，从而提高程序的稳定性和安全性。同时，它也消除了类型转换的代码，使得代码更加简洁和易于维护。需要注意的是，上述非主流用法并非推荐的做法，它们可能增加代码的复杂性和出错的风险。在大多数情况下，应优先考虑使用泛型和通配符的主流用法来编写清晰、简洁、易于维护的代码。
Java小技能：多级组织机构排序并返回树结构（包含每个层级的子节点和业务数据集合）
iOS逆向与安全
07-17 5221
包含每个层级的子节点和业务数据集合。
Collections.unmodifiableList
我这个代码你能看懂吗？
07-17 519
以上方法都可以用来复制一个List，具体选择哪种方法取决于你的需求和使用场景。如果你需要一个简单的、快速的复制，可以使用ArrayList构造函数或addAll方法。如果你需要更灵活的操作，可以考虑使用stream和。
共享模型之无锁
快乐的小三菊的博客
07-19 840
共享模型之无锁
FastAPI 学习之路（五十九）封装统一的json返回处理工具
mr~li的博客
07-18 387
在本篇文章之前的接口，我们每个接口异常返回的数据格式都不一样，处理起来也没有那么方便，因此我们可以封装一个统一的json。改造后，我们的返回消息，可以自定义code，message，data。接下来我们再次改造下我们的新建用户的接口。把代码统一放到common下面的json_tools.py里面，我们在接口返回的时候调用。这样我们就完成了统一接口响应处理，后续我们可以在所有的接口中使用。我们看下修改后的用户返回。我们看下处理后的效果。我们看创建重复的返回。
JAVA8专题-Stream流操作详解
逆天-逍遥哥哥的博客
07-17 1598
JAVA8专题-Stream流操作详解
CmakeLists
qq_33089547的博客
07-17 399
如果使用的静态库， libcalc.a 可被打包到生成的可执行文件当中，动态库里面的数据不会打包到可执行文件里面，当程序一启动，可执行文件和静态库都会被加载到内存中，但是动态库不会，动态库只是执行到的时候才会被加载到内存中。CMAKE_CURRENT_SOURCE_DIR执行cmake时后面携带的路径 CMakeLists.txt对应的路径。PROJECT_SOURCE_DIR：执行cmake时后面携带的路径 CMakeLists.txt对应的路径。发布给客户需要给include 和库文件。
【STL详解 —— map和set的使用】
jokr_的博客
07-17 1007
set是按照一定次序存储元素的容器。默认情况下，std::set 使用 std::less 作为比较函数，这意味着它会使用小于运算符（
【C++11】（lambda）
2301_78636079的博客
07-17 1009
C++11 lambda
Linux文件和目录常用命令
loongnoy的博客
07-19 388
可以理解为现实生活中的管子，管子的一头塞东西进去，另一头取出来，这里 | 的左右分为俩端，左端塞东西（写），右端取东西（读）ls 是英文单词 list 的简写，其功能为列出目录的内容，是用户最常用的命令之一，类似于 DOs 下的dir 命令。-r 若给出的源文件是目录文件，则cp将递归复制该目录下的所有子目录和文件，目标文件必须为一个目录名。·cp 命令的功能是将给出的文件或目录复制到另一个文件或目录中，相当于DOS下的copy命令。的简写，其功能为更改当前的工作目录，也是用户最常用的命令之一。
Stream流
weixin_65752158的博客
07-17 570
使用Stream流示例代码。
封装的通用链表（list.c/list.h/test_list.c）
weixin_65029285的博客
07-18 283
【代码】封装的通用链表（list.c/list.h/test_list.c）
单链表＜数据结构 C版＞
hukang的博客
07-19 1649
单链表是一种在物理存储结构上非连续、非顺序的存储结构，数据元素的逻辑顺序是通过链表中的指针链接顺序实现的。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值