首页
论坛
课程
招聘
问答 企服 专栏 CTF 众测 排行榜 知识库 工具下载 看雪峰会 看雪20年 看雪商城 证书查询
  1. 专栏首页
  2. 标签

一次对CryptoShield勒索软件的详细分析报告

引子很久前手里的一个样本，之前因为技术不够一直没有详细分析，最近心血来潮尽我所能详细分析一下。样本概览文件名：2017-01-31-EITest-Rig-EK-payload-CryptoShield-rad6BF31.tmp.exe 文件大小：93.5Kb（95,744字节） 文件版本：11, ...
ISh_LLL 评论
252 人阅读・2021-07-30 10:11

内核学习-双机调试环境搭建

最近在学习windows内核的知识，记录下自己搭建双机调试的坑点。环境使用Win10 +Windows XP Professional。打开xp虚拟机，进入C盘根目录，工具，文件夹选项下，取消勾选隐私受保护的系统文件，勾选显示所有文件或文件夹。
pyikaaaa 评论
503 人阅读・2021-07-21 15:02

MEMZ彩虹病毒分析

彩虹猫主代码框架分析：首先使用IDA将病毒文件样本打开（该病毒样本是32bit程序），打开之后，我们转换为伪代码形式。我们先大题说明一下该程序的执行逻辑。程序首先获取主屏幕的长宽度，并且获取指令参数。判断是否存在指令参数，并且根据不同情景执行不同的代码。我们首先看如下图片中的代码，其中的操作即获取主屏幕长度，宽度，获取指令参数。
天象独行 评论
466 人阅读・2021-07-19 14:52

Galgame汉化中的逆向（六）：动态汉化分析_以MAJIROv3引擎为例

所谓静态汉化，即分析文件结构、二进制脚本opcode，然后进行静态封包等方法。与类似于静态编译的语言类似，在运行前数据类型等已经确定完成，程序运行时按照既定的逻辑执行，静态汉化显示的是我们提前准备好的汉化文本。大部分的主机游戏汉化都是静态汉化，因为权限等问题，主机几乎不可能动态调试
devseed 评论
422 人阅读・2021-07-19 09:22

记一次MEMZ样本分析

彩虹猫病毒是一个基本的恶搞病毒，没有采取隐藏或者免杀等技术，适合新手分析。该病毒会修改MBR主引导扇区，以此来破坏电脑的正常启动，属于MBR病毒。在修改MBR后，电脑蓝屏，Windows无法启动，一直播放一个彩虹猫的画面。   运行样本双击加载病毒，会出现这样的2个提示 ...
0xNOPE 评论
1260 人阅读・2021-07-15 09:39

XX之NTDLL随机化“逆向”（XP系统）

DLL随机化是从Vista版本之后开始出现的，主要是为了增加漏洞的利用难度，但是XP系统DLL的基址都是固定的，那么出现了一个问题，如何让XP系统的DLL也随机化？
烟花易冷丶 评论
2056 人阅读・2021-07-14 13:44

记一次Word宏Downloader样本分析

在virustotal上查询该样本，被标记为Downloader，而且还有一些厂商还未捕获该样本。沙箱检测出病毒创建了3个进程，其中有一个是powershell.exe、释放了4个文件。下面分析一下这个样本。
0xNOPE 评论
1521 人阅读・2021-07-14 13:36

某鹅安全竞赛20年初赛ring0题解

最近打算把某鹅安全竞赛做一遍，来练练手。做到20年的时候发现20年的题解不是很多，仅有的几个写的也不是很详细，于是就打算来写一个详细点（新手向）的，供和我一样刚入门的朋友们参考。其实对于vmp壳我还有许多的知识待学习，中间写的有些错误与问题，还请大家多多赐教。  题目在这里可以下 ...
危楼高百尺 评论
347 人阅读・2021-07-14 10:25

【分析记录】疑似Confucius组织组件CuoliVXaRAT分析

背景：Confucius组织，被疑似为南亚大陆印度政府背景支持的APT组织，该组织长期对南亚多国及我国相关政府、航天工业、船舶工业、海运等行业进行网络间谍窃密活动。本次分析组件疑似为该组织在2020年相关攻击活动中使用到的远控组件，目前似乎该组件并没有确切的名称，结合其目录等相关信息，将其命名为“C ...
binlmmhc 评论
225 人阅读・2021-07-14 09:24

关于双系统挖矿，新型AutoUpdate挖矿病毒的分析与讨论

前情概要参考链接：https://mp.weixin.qq.com/s/kZExlJ62LVPOlufkurhBjw上周末看到了深信服千里目的病毒分析报告，顿时眼睛一亮，这种集合了Windows&&Linux&&Web流量攻击的恶意程序 ...
F4our444 评论
509 人阅读・2021-07-13 14:43

unidbg过混淆过的arm64程序初体验

过一个不知名的网络验证程序的混淆，达到网络验证取ip 过校验的效果。文中有丰富的逆向思考方案以及unidbg调试arm64可执行文件的案例，欢迎大家讨论。
wx_Fruits Basket 评论
10648 人阅读・2021-07-07 11:32

[庆祝建党]一次上当受骗的样本分析经验

样本sha1: 21766239b79ece18b15a03f4517f3be6ed9c07ed，样本很小，只有4096字节，拖到虚拟机里运行直接退出了，但是在VT里查可以看到很多报毒 1234567891011121314151617181920212223242 ...
LarryS 评论
61 人阅读・2021-06-29 11:38

使用unicorn-engine开发模拟器

使用unicorn-engine开发模拟器什么是unicorn引擎Unicorn是基于qemu开发的一个CPU模拟器，支持常见的各种指令集，能在各种系统上运行。GITHUB项目地址：https://github.com/unicorn-engine/unicorn
mrcc 评论
2922 人阅读・2021-06-29 09:22

恶意程序分析-去除恶意程序混淆-学习记录

混淆说白了就是恶意程序的作者自己发明的一种壳。它会将想要隐藏执行的PE文件经过加密以后植入自身内部，当自身运行时候，对其执行解密操作并执行，于是就达到了隐藏运行的目 ...
天象独行 评论
1273 人阅读・2021-06-21 13:45

动态静态逐步分析熊猫烧香

全篇都是一个个call逐步分析将病毒分析了个大概，首先放到VirSCAN查询基本信息，查壳，编写语言为Delphi，默认调用约定为register，特点为传参会将参数依次放入寄存器，打开程序后查看进程发现多了一个spcolsv.exe，将可以进程强制结束
wx_dopeusa91 评论
972 人阅读・2021-06-21 13:33
©2000 - 2021 看雪学院 | 微信公众帐号：ikanxue | 关于我们 | 联系我们
Time: 0.379, SQL: 87 / 沪ICP备16048531号-1 / 沪公网安备 31011502006611号