当前位置：文档之家 › QQ木马分析

QQ木马分析

  • 格式：doc
  • 大小：97.00 KB
  • 文档页数：18

那天晚上在群里和backer下载一端口扫描器（一看就知道是qq木马)，我们把它反汇编把其中的盗qq的邮箱给弄出来了。下面抽工作之余我对这个家伙进行了详细的分析：

由于当时没有装虚拟器，就拿自己的笔记本做实验台了。用peid查壳发现是FSG的一个变形的壳，只能手工脱了，用OD载入，脱壳的具体细节我也不说了，因为在我脱的过程中一不小心给运行了，发现界面确实是个扫描器，于是看了看我的临时目录下多出两个文件：端口扫描器.exe和muma.exe看来这是个捆绑机啊。也不用脱了muma.exe出来了。

再用peid查壳发现是UPX的一个变形壳。载入OD手动脱掉之后（脱壳我就不分析了），脱出来的我们叫upack.exe吧。用Ultraedit把它们都打开会发现muma.exe最后有一些加密的字符串，脱壳后的upack.exe里就没有。把这些字串复制到upack.exe的结尾（注意要复制的刚好到位。可能有人会问：你怎么知道的呢。我一开始的时候也没有复制，在跟踪的时候发现此程序在读自身，就察觉有问题）。如果不复制的话带壳调也行。

下面开始真正的分析这个程序了：

0040507E 50 push eax

0040507F 6A 00 push 0

00405081 68 01001F00 push 1F0001

00405086 E8 65EBFFFF call 打开互斥

0040508B 85C0 test eax, eax

0040508D 75 13 jnz short 004050A2

一开始先检查互斥（判断程序运行是否唯一），由于我的机子已经中了这个木马了，需要改一下跳转。0040508D 75 13 je short 004050A2

不然的话就自己动退出了。

004050D0 A1 C0604000 mov eax, dword ptr [4060C0] 把"ExeMutex_QQRobber2.0"给eax

004050D5 E8 1AE3FFFF call 004033F4 判断上面的字符串有没有

004050DA 50 push eax

004050DB 6A 00 push 0

004050DD 6A 00 push 0

004050DF E8 9CEAFFFF call 00403B80 以"ExeMutex_QQRobber2.0"创建互斥

看一下call 00403B80这个函数里面：

00403B80 55 push ebp

00403B81 8BEC mov ebp, esp

00403B83 8B45 10 mov eax, dword ptr [ebp+10]

00403B86 50 push eax

00403B87 837D 0C 01 cmp dword ptr [ebp+C], 1

00403B8B 1BC0 sbb eax, eax

00403B8D 40 inc eax

00403B8E 83E0 7F and eax, 7F

00403B91 50 push eax

00403B92 8B45 08 mov eax, dword ptr [ebp+8]

00403B95 50 push eax

00403B96 E8 DDFFFFFF call

00403B9B 5D pop ebp 00403B9C C2 0C00 retn 0C

创建了一个互斥

下面呢

004050E9 E8 16EEFFFF call 00403F04

到这个函数里去：

00403F25 E8 FAF5FFFF call 00403524

00403F2A 6A 32 push 32

00403F2C 8BC3 mov eax, ebx

00403F2E E8 19F5FFFF call 0040344C

00403F33 50 push eax

00403F34 E8 97FCFFFF call

00403F39 8D45 FC lea eax, dword ptr [ebp-4]

00403F3C E8 D7FEFFFF call 00403E18

得到系统目录，我的是：C:\windows（再往下看就知道为什么了）

看00403F3C E8 D7FEFFFF call 00403E18

里得到C：\的具体信息，（推测是判断一下这个C:\盘是否存在）

现在有了C:\这个系统盘符了

00403F73 E8 3CF3FFFF call 004032B4

00403F78 EB 27 jmp short 00403FA1

在程序里有内置了一个目录是:\Program Files\Common Files\Microsoft Shared\MSInfo

call 004032B4就是把C和上面的字串接起来

004050E9 E8 16EEFFFF call 00403F04

004050EE 8B55 EC mov edx, dword ptr [ebp-14]

004050F1 B8 B0764000 mov eax, 004076B0

004050F6 E8 05E0FFFF call 00403100

004050FB A1 B0764000 mov eax, dword ptr [4076B0]

00405100 E8 EFE2FFFF call 004033F4

上面的函数是通过一些算法随机算出一个dll文件名，我机子上是E83B4A4D.dll然后和上面的字串接起来成为：

C:\Program Files\Common Files\Microsoft Shared\MSInfo\E83B4A4D.dll

00405105 8BD8 mov ebx, eax

00405107 53 push ebx 得到C:\Program Files\Common Files\Microsoft Shared\MSInfo\E83B4A4D.dll的属性

00405108 E8 ABEAFFFF call 它的意思是看这个文件存在否，

0040510D 83F8 FF cmp eax, -1 比较是否失败

这个程序判断一个文件是否存在用的不是FindFirstFile是GetFileAttributes函数，意思是如果得不到此文件的属性就认为它不存在

00405110 /74 0E je short 00405120

00405112 |6A 00 push 0

00405114 |53 push ebx

00405115 |E8 EEEAFFFF call 设置此文件的属性

0040511A |53 push ebx

0040511B |E8 80EAFFFF call 注意 00405120 \8D55 E4 lea edx, dword ptr [ebp-1C]

如果存在呢，设置文件的属性为正常，然后把它删掉

继续往下看这个00405125 E8 62D5FFFF call 0040268C

里面是：

004026A4 68 05010000 push 105

004026A9 8D4424 04 lea eax, dword ptr [esp+4]

004026AD 50 push eax

004026AE 6A 00 push 0

004026B0 E8 AFE9FFFF call

004026B5 8BC8 mov ecx, eax

得到自己程序和路径：我的是C:\Documents and Settings\javafish\Desktop\MSInfo\upack.exe

返回看00405130 E8 AFF7FFFF call 004048E4

里面：

00404927 6A 00 push 0

00404929 68 80000000 push 80

0040492E 6A 03 push 3

00404930 6A 00 push 0

00404932 6A 01 push 1

00404934 68 00000080 push 80000000

00404939 8B45 FC mov eax, dword ptr [ebp-4]

0040493C E8 B3EAFFFF call 004033F4

合集下载

六年级作文：橙色警报

六年级作文：橙色警报

六年级作文：橙色警报

昨天下午，爷爷正在他的qq空间写日志时，电脑屏幕上突然出现了一个对话框，内容是“警告：发现盗号木马，您的帐号可能被盗”。

爷爷对此突如其来的警告感到非常意外，惊慌失措地叫我赶快过来，问我这是怎么回事?要如何处置?我很快来到电脑前，看了警告的内容后知道是盗号木马病毒入侵，如果不及时采取措施，qq将会被盗，后果不堪设想，因此我马上动手采取了应急措施。

首先，打开360安全卫士，进行病毒扫描，发现了8个木马程序，我立即点击了强力查杀，强行封杀各种流氓软件，粉碎此病毒的相关文件;其次，马上更改qq密码，以免帐号被盗；更改完毕后，我立即登陆qq，却发现弹出一个框框，内容是“无法找到MORes。dll”，我看后感觉不理解，便到互联网上查找方法，按指示完成后，这种情况就没有再发生。随后，我重新启动计算机，再次打开360安全卫士，仅花12秒便肃清残敌，电脑完全恢复正常。

处置这次的橙色警报，让我经受了一场有惊无险的考验，用自己的智慧与能力保住了qq帐号的安全。这一次的胜仗，不仅仅是因为杀毒软件比较好用，更是因为我的镇定自若和经验累积有重大关系，这是取得封杀木马病毒的彻底胜利的重要环节。爷爷站在旁边观看，见我应付自如并终于解决了问题，脸上挂上了满意的笑容，表扬我真棒！得到爷爷的肯定我内心十分高兴！

这场战斗让我明白：凡事都需要镇定自若地应对，惊慌失措是不能解决问题的，只要能细心地去寻找相关的知识，敢于摸索、勇于探索，自己的实战能力就会不断提高，各种病毒也就能及时肃清，电脑就能安全快捷地运行。

qq假装被盗发什么说说

qq假装被盗发什么说说

qq假装被盗发什么说说

【篇一：qq假装被盗发什么说说】

qq被盗你登陆过的电脑或手机中木马了，对方是个高手哦！首先不要着急申诉，先把电脑或手机重新做系统或者确保能杀掉，这非常重要！否则您填写的申诉资料还有可能被盗号者知道，那就麻烦了，不要尝试手工删除木马，因为要是您中了木马都不知道，我相信您是没有能力来删除木马的。或者您找一无的电脑或手机来填写申诉表或者去朋友电脑那里填写，总之一定要保证电脑或手机系统绝对安全。否则会再被盗或反被对方申诉！

qq被盗应选择【账号申述】：在qq的登录窗口，点击【找回密码】，按照上面的提示，填写验证码，然后按下一步，这里因为密保已经被修改，所以选择【账号申述】，需要填写一些资料，如果你有身份证等信息，可以填写上去。如果你没有的话，就填写你的姓名，然后再填接收信息的【邮箱账号】。邮箱账号填写你的另一个可以登录的，不能填写你已经被盗的。打开邮箱，打开一封申述的邮件，复制里面的验证码。把验证码填写到验证码的输入框中。

qq被盗，小心亲戚朋友被骗！通知一下为谨防冒充你去诈骗亲友们的钱财！

qq被盗或申诉回来再次被盗关键是：在电脑或手机中已经被植入能盗号的了（很严重！），或者在中木马病毒的设备上登陆过qq。请赶紧对自己的电脑或手机的杀毒软件升级到最新，然后全面全盘杀毒；如果还查不出木马或病毒，就需要格式化或初始化系统，重装系统后不要立即打开任何电脑，否则厉害的木马病毒会被立刻激活自动安装（复活自己），功能弱的杀毒软件也无法查杀掉，应该立刻上网下载安装最新的杀毒软件并升级，然后全盘查杀木马病毒！否则，您的账号即使被找回来，但是会很快再次被盗号！ qq号申诉回来立刻修改密保和密码，绑定手机令牌和手机号！加强密码安全保险系数

【篇二：qq假装被盗发什么说说】

qq被盗个性说说精选

一、同志们!我qq被盗号啦!什么都别相信啊!

二、qq被盗，死骗子果不其然给很多人发了信息，有点尴尬，不过也有点意外，还是有很多看起来不那么熟的朋友回复了信息，还有差点中招的，当然，更多人都已经不知道我是哪位了。

电脑病毒名字有哪些

电脑病毒名字有哪些

电脑病毒名字有哪些

计算机病毒是一个程序,一段可执行码。因为会破坏计算机的功能或数据,影响计算机使用的程序代码被称为计算机病毒。下面是店铺收集整理的电脑病毒名字有哪些，希望对大家有帮助~~

电脑病毒名字有哪些

电脑病毒名字如下：

系统病毒

系统病毒的前缀为：Win32、PE、Win95、W32、W95等。这些病毒的一般共有的特性是可以感染windows操作系统的 *.exe 和

*.dll 文件，并通过这些文件进行传播。如CIH病毒。

蠕虫病毒

蠕虫病毒的前缀是：Worm。这种病毒的共有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲击波(阻塞网络)，小邮差(发带毒邮件) 等。

木马病毒、黑客病毒

木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的共有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。一般的木马如QQ消息尾巴木马 Trojan.QQ3344 ，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW.60 。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能(这些字母一般都为“密码”的英文“password”的缩写)一些黑客程序如：网络枭雄(her.Client)等。

脚本病毒

脚本病毒的前缀是：Script。脚本病毒的共有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码(Script.Redlof)。脚本病毒还会有如下前缀：VBS、JS(表明是何种脚本编写的)，如欢乐时光(VBS.Happytime)、十四日(Js.Fortnight.c.s)等。

QQ邮箱传送密码 征途2钓鱼外挂再现

QQ邮箱传送密码 征途2钓鱼外挂再现

QQ邮箱传送密码 征途2钓鱼外挂再现

2010-12-16 14:27 来源：华军资讯 作者：厂商投递 RSS复制链接打印

核心提示：钓鱼相对于盗号木马来说实现技术要简单一些，只要山寨得够像，有内容，就有机会骗到网友的游戏帐号，支付宝账号，甚至真金白银。目前互联网钓鱼成明显上升趋势，网友应提高警惕。

巨盾安全实验室通过最近网友反馈数据发现互联网钓鱼成为这段时间的热门，钓鱼相对于盗号木马来说实现技术要简单一些，只要山寨得够像，有内容，就有机会骗到网友的游戏帐号，支付宝账号，甚至真金白银。目前互联网钓鱼成明显上升趋势，网友应提高警惕。

巨盾安全实验室这周接到用户反馈说发现一款征途2外挂存在钓鱼嫌疑，在接到用户反馈之后立即对该外挂进行分析，发现这又是一个钓鱼外挂，并没有外挂功能，其目的在于盗取网友的账号和密码。比较特殊的是，该钓鱼外挂会将骗取到的游戏账号通过邮件发送到指定的QQ邮箱，下面我们简单的来演示一下。

双击运行该钓鱼外挂之后，出现需要输入征途2账号和密码的登陆框，我们这里就全部输入“123456”以供测试，登录界面如下图所示。

通过监控工具发现，登录过后，该钓鱼外挂就会通过QQ邮件将征途2的账号和密码发到指定的QQ邮箱，网友的账号将会收到严重的安全威胁。抓包的内容与QQ邮箱中收到的内容已经用不同颜色的框圈起来了，可以看出相互的对应关系。

最后提醒广大玩家，随着游戏的火爆，肯定会有更多的外挂、木马对游戏进行冲击，目前出现了很多的钓鱼外挂来骗取征途2的账号和密码，希望玩家能够甄别，同时为了游戏的健康发展，坚决抵制外挂，另一方面也减少了游戏账号的安全威胁。

巨盾安全实验室推出了全新的游戏账号保护工具：巨盾拦拦，该工具不再以特征为查杀标准，而是利用智能识别木马盗号技术，可以在木马发送用户账号信息之前将其拦截并通知用户，可以实现即使用户中了木马也不会被盗号。同时玩家也可以下载巨盾对账号进行保护，巨盾集保护、查杀、监控等功能于一身，强悍的脚本控制能力更够将一个系列的木马一网打尽，保障玩家的账号安全。