本文主要探讨《恶意代码分析实战》中的进程注入案例，重点是Lab 12-2 & Lab 12-3。恶意代码通过PE注入技术隐藏在svchost.exe中，其目的可能是键盘监控。恶意负载被加密存储在资源节LOCALIZATION中，并使用异或加密函数解密。通过SetWindowsHookExA实现键盘钩子注入，记录用户击键和窗口标题信息。此外，程序还会生成practicalmalwareanalysis.log日志文件。
进程注入分析（中）
教程参考自《恶意代码分析实战》
程序来自：http://www.nostarch.com/malware.htm
Lab 12-2 & Lab 12-3
本节实验使用样本Lab12-02.exe。
这个程序的目的是什么？
从资源节加载恶意payload，然后注入到svchost.exe进程中运行。
启动器恶意代码是如何隐藏执行的？
使用PE注入的方式将恶意PE注入到svchost.exe中。
启动器恶意代码是如何隐藏执行的？
使用PE注入的方式将恶意PE注入到svchost.exe中。
恶意代码的负载存储在哪里？
存储在资源节LOCALIZATION中。
最低0.47元/天 解锁文章
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
