搜索

[13594] 2018-12-30_恶意文档执行命令提取工具：CMDWatcher

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-12-30_恶意文档执行命令提取工具：CMDWatcher 恶 意 文 档 执 行 命 令 提 取 工 具 ： C M D   W a t c h e r 周 大 涛   F r e e B u f   2 0 1 8 - 1 2 - 3 0 在 花 了 大 量 时 间 分 析 各 种 m a l d o c 之 后 ， 我 意 识 到 它 们 有 一 个 共 同 点 。 看 看 下 面 这 张 图 表 ： 我 意 识 到 许 多 m a l d o c 使 用 C M D 来 启 动 下 一 个 阶 段 。 当 然 ， 并 不 是 所 有 的 m a l d o c 都 遵 循 这 个 图 表 。 有 一 些 m a l d o c s 直 接 从 V B A 请 求 ( 或 其 变 体 ) 恶 意 软 件 ， 而 C M D 根 本 没 有 使 用 。 所 以 我 想 ， 如 果 我 监 视 C M D 进 程 并 从 命 令 行 提 取 数 据 会 怎 么 样 呢 ? 这 样 ， 我 就 可 以 从 V B A 宏 中 获 得 没 有 被 混 淆 的 输 出 ， 而 不 必 遍 历 代 码 并 手 动 转 储 内 容 。 又 如 果 我 监 视 C M D 进 程 ， 挂 起 它 ， 提 取 命 令 行 数 据 ， 然 后 杀 掉 它 ， 会 怎 么 样 呢 ? 我 不 仅 能 够 快 速 、 轻 松 地 获 得 V B A 宏 输 出 ， 而 且 还 可 以 避 免 机 器 损 坏 。 C M D 观 察 者 就 是 这 样 诞 生 的 。 我 去 了 恶 意 软 件 流 量 分 析 站 点 ， 抓 了 几 个 m a l d o c s ， 启 动 了 C M D 监 视 器 ， 开 始 打 开 每 个 文 档 ， 同 时 允 许 宏 运 行 。 看 起 来 它 在 工 作 … …
这 是 E m o t e t   m a l d o c 。 这 是 H a n c i t o r
这 是 T r i c k b o t 。 我 将 写 一 篇 关 于 如 何 去 混 淆 D O S f u s c a t e d 脚 本 的 后 续 文 章 。 如 果 您 对 C M D   W a t c h e r 感 兴 趣 ， 可 以 从 T o o l s 页 面 下 载 它 。 * 参 考 来 源 参 考 来 源 k a h u s e c u r i t y ， 由 周 大 涛 编 译 ， 转 载 请 注 明 来 自 ， 由 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理