|
 
- 帖子
- 270
- 积分
- 733
- 威望
- 1168
- 金钱
- 874
- 在线时间
- 2 小时
  
|
[讨论]最新机器狗破解
议题作者：光芒果
前几天别人给我一份破所有还原的下载者，想把里面的下载地址改成自己的。
这个下载者用WinUpack 0.39 final压过，脱后修复了资源，在资源里看到一个HOOK用的DLL，一个
Downloader的exe，一个Kill杀软的exe，一个破还原的驱动SYS。
程序工作时先从自身释放所有资源，还会感染系统文件explorer.exe,winhlp32.exe，感染时
会在explorer.exe,winhlp32.exe的头部添加一个空间，用来写原来资源里Downloader的
内容。然后读取下载者自身（不在资源那块）的一个明文的下载地址，这个地址好改。
但重启后是被感染的explorer.exe起作用，而这个被感染的文件是读取Downloader（也就是原下载者的
资源部分那个Downloader）里面的下载地址，（也就是说原来下载者有两个放下载地址的地方，一个是
重启前读取的，另一个是重启后读取的。）
问题是资源里的Downloader也是经过WinUpack 0.39 final压过的，要改里面的地址必须要脱壳，
而脱壳后肯定会增大，脱壳后的Downloader可以正常运行，但导入原下载者后运行直接蓝屏。
到底感染的时候出的问题 还是原程序在读取SYS驱动（驱动文件排在Downloader之后）的时候出的问题？
怎么解决？
如分析有需要可以找我要样本Q：89739102 |
|
发表于 2008-7-20 23:19
| 
