|
winform.exe & winform.dll
winform.exe这个木马还带了一个winform.dll的动态库，该动态库导出2个函数：fa和fc。ok，一步一步来看看吧。
winform.exe干的第一件事情是调用mixer系列函数设置静音~。这样一来，如果被Anti-Virus发现了，也没那么容易被察觉。嗯，赞细致~~
接下来，开启一个线程。该线程是专门为杀毒软件准备的，呵呵~。其工作流程如下图：
安抚了Anti-Virus以后，Winform才开始了自己的工作。
首先检查自己是否在windows目录下。如果没有的话，将自己复制一份到windows\winform.exe，然后启动一个新进程：c:\windows\winform.exe @current_file_path@current_process_id，然后就可以退出了。新的进程会检查是否带了命令行启动。如果带了命令行，则根据命令行带的参数信息，强行关闭旧的进程，并且删除其不在windows目录中的本体文件，达到保护自己的目的。
接下来，就是远程注入winform.dll的工作。首先遍历所有的进程，找到explorer.exe的进程id。如果找不到，则跳到最后的注册表操作。找到explorer.exe以后，winform.exe把自己内部含有的DLL类型资源释放到System32目录下，也就是winform.dll。然后就是一段中规中矩的远程线程注入的处理。最后启动远程线程，使其调用winform.dll中的fa函数，挂了个hook~
最后，把声音恢复~
呼呼~~困了~~下次再写winform.dll中的行为~~~
-----------------------------------------------------------------------------------------------------------------------------
起床啦~~哈哈~~
winform.dll看了一下，前面被注入到explorer.exe以后，调用了其fa函数，挂了个全局钩子（所以fc函数自然就是卸载钩子啦~ hiahia~~）。然后检查Attach到的新进程是不是my.exe或者gameclient.exe。好像一个是梦幻西游，一个是浩方战网。然后针对各自的信息起了线程作数据处理，没啥意思了。
杀winform，只要把explore中的winform.dll卸载掉，然后删掉就行了，挺无聊的~
-----------------------------------------------------------------------------------------------------------------------------
wodsttorks.exe & wodsttorks.dll
wodsttorks.exe和wodsttorks.dll木马的作者和winform.exe的作者显然是同一个人，所有的处理几乎一样，除了wodsttorks.dll中的业务有些差别。wodsttorks.dll处理三个游戏：soul.exe(魔域）、elementclient.exe(完美世界)和gameclient.exe(浩方战网）。
-----------------------------------------------------------------------------------------------------------------------------
wstrrs.exe & wstrrs.dll
wsttrs.exe和wsttrs.dll跟wodsttorks功能完全一样，也是处理魔域，完美世界和浩方三个游戏。却别在于：wsttrs.exe加了壳。然后wsttrs.dll中有一段通过跟0x96简单异或加密的url:http://www.lmhlve.com/my/lin.asp，而wodsttorks.dll中的则是url:http://kikei.com/moyy/lin.asp。估计是干完活提交点数据回去~？呵呵~~
-----------------------------------------------------------------------------------------------------------------------------
upxmdnd.exe & upxmdnd.dll
注入加载方式同上，区别只是这次是生成到temp目录里面(GetTempPath())。
upxmdnd.dll处理如下几个程序:zhengtu.at(征途？)，cabalmain.exe(惊天动地~？)和elementclient.exe(完美世界)。
-----------------------------------------------------------------------------------------------------------------------------
mppds.exe & mppds.dll
注入方式同上，mppds.dll生成在System32目录里，处理wow.exe和elementclient.exe。
-----------------------------------------------------------------------------------------------------------------------------
还有几个其他的库~大致都差不多~~忙~懒得看了
电脑维修知识网
| 
