刚刚逮到一个在加固模块里面放远控马的，遇到的话注意点

凌哥 · 发表于 2021-5-7 15:19:58

本帖最后由凌哥于 2021-5-7 15:24 编辑

有个人找到我帮忙分析加密模块后...就逮到一个藏在模块里面的远控马

小马是内存运行的，还判断了一下父进程名，直接丢exe到沙箱跑不出东西

远程端口 2020 IP有两个，不知道是不是第一个人绑马给第二个人后，第二个人又绑了一层远控马继续发布

相关信息是：ref.tbfull.com 42.157.128.54(高防服务器) 39.103.200.111(情报上显示阿里云机器)

还有远程代码注入的行为...花里胡哨的，模块套模块的模块...能套了两个不同版本的精易模块就离谱

感觉我这样喜欢折腾，太特么容易得罪人了，估计以后会被逮到就喷，喷了就跑

凌哥 · 发表于 2021-5-7 15:34:44

顺便说一下，这个是直接违反刑法的行为，我发现这个人把模块提供给了800多个人，而且模块是收费50元的，也就是说数量上已经达到了法律上标注的“非常严重情节” 抓到的话可以判3年以上7年以下，大家且行且珍惜

凌哥 · 发表于 2021-5-8 05:07:40

追加一个域名解析记录，qqxieyi.cn 指向远控木马的IP

a657938016 · 发表于 2021-5-7 15:29:56

支持大佬

akidc · 发表于 2021-5-7 15:32:52

支持支持

kmskik · 发表于 2021-5-7 15:36:35

支持大佬

357300053 · 发表于 2021-5-7 15:37:29

支持支持

供供啊 · 发表于 2021-5-7 15:46:47

支持~必须支持暴光这些家伙。

兔子君 · 发表于 2021-5-7 16:08:36

不作死就不会死，昨天才收拾一个挂马的模块特征，这又来一个，可以的，
可能都觉得里面的饭菜香吧

凌哥 · 发表于 2021-5-7 16:13:25

兔子君发表于 2021-5-7 16:08
不作死就不会死，昨天才收拾一个挂马的模块特征，这又来一个，可以的，
可能都觉得里面的饭菜香吧 ...

债多了不愁，虱子多了不痒；我已经无所谓了，碰见这种我就喜欢搞了发一下，反正喷我的人不差再多一点

指尖流淌 · 发表于 2021-5-7 17:22:04

是什么模块?

		自动登录	找回密码
密码			注册

[Windows逆向] 刚刚逮到一个在加固模块里面放远控马的，遇到的话注意点

本帖子中包含更多资源

点评

评分

点评

本帖子中包含更多资源