海莲花APT组织样本分析
2022-1-20 18:1:29 Author: mp.weixin.qq.com(查看原文) 阅读量:29 收藏


看雪论坛作者ID：寒江独钓_ 

1

利用wirkeshake抓包初步分析

话不多说，直接开始。经典的图标伪装，伪装成一个DOC文档，以为换个马甲就不认识你了！

朋友来了有好酒，敌人来了有猎枪，先上老三样。

自解压格式



好了，是骡子是马拉出来溜溜吧！

好家伙，一窝全是，您可真能生！李鬼就是李鬼，弄个假的看不起谁呢。

里应外合，谋财害命。

爬我墙头。


意料之中。



小结：经典的白+黑加载方式，先释放白+黑程序，然后启动白程序MicrosoftUpdate.exe，再通过MicrosoftUpdate.exe加载SoftwareUpdateFiles.Resources下的 SoftwareUpdateFilesLocalized.dll恶意程序。

使用OD详细分析


读取SoftwareUpdateFiles.locale中的内容：

解密数据：

执行解密后的数据（因为中途跑飞了所以地址有一点变化，不影响分析，忽略即可）：

生成假文档迷惑用户：
 
通过LoadLibrary和GetProcAddress获取函数地址：
 
最后退出程序：
 
先分析到这里。

 

看雪ID：寒江独钓_ 

https://bbs.pediy.com/user-home-941725.htm

*本文由看雪论坛 寒江独钓_  原创，转载请注明来自看雪社区

# 往期推荐

1.详解七句汇编获取Kernel32模块地址

2.保护模式学习笔记之分页机制

3.非华为电脑安装华为电脑管家分析

4.某DEX_VMP安全分析与还原

5.怎样制作一个防止重打包的APK【反脱壳反HOOK】

6.CVE-2019-9081 Laravel5.7 反序列化 RCE复现

球分享

球点赞

球在看

点击“阅读原文”，了解更多！


文章来源: http://mp.weixin.qq.com/s?__biz=MjM5NTc2MDYxMw==&mid=2458419608&idx=2&sn=edbdb4afd3556b24ece7e8f2202cf755&chksm=b18fb11286f83804db8179972410eabc2f47ad912bcaf1038c282b543541370ef0e0b890b224#rd
如有侵权请联系:admin#unsafe.sh