超级会员免费看
两页页码保护
Rootkit系列病毒“独狼”属于比较有历史的一种底层病毒，最近一次出现在去年四月份，并持续活跃至今。由于在安装盗版Ghost系统时就潜伏其中，Rootkit病毒家族可轻易获取系统底层权限，阻截杀毒软件的查杀，并随时在用户机器上执行任意代码操作。本篇分享分析与排查过程一篇。
拖入IDA反编译exe发现有AutoIt字样，显然恶意软件是AutoIt脚本写的。这里是独立的可执行文件，该文件实际上是AutoIt解释器，其中将编译后的脚本作为资源嵌入其中。
使用Exe2Aut软件可以提取出原始脚本如下图所示。
样本中使用InitializeSecurityDescriptor初始化安全描述符和SetSecurityDescriptorDacl设置把参数DACL设置为NULL，其实相当于将object的安全级别降到了最低，所有的访问请求都将成功。
之后样本会释放一系列文件，为了能捕捉到这些文件，我们下CreateProcess和ShellEx
订阅专栏 解锁全文
871
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
