发布于18小时前18小时 {"title":"逆向木马远控：Windows 常驻样本的静态拆解、通信定位与日志闭环","content":"背景某 Windows 终端出现周期性外联告警，目标进程位于 C:\\ProgramData\\MediaCache\\update.exe，无可信数字签名，并通过计划任务在用户登录后启动。下文以该场景说明如何在隔离环境中完成远控木马的样本固定、静态逆向、运行证据关联和修复验证。重点是确认远控能力、持久化位置、通信特征及影响范围，不讨论木马控制端搭建或攻击投递。样本分析应在断网快照虚拟机或受控沙箱中进行。不要直接在办公终端双击样本，也不要让分析环境访问互联网。问题定位首先保全文件、进程、网络和自启动证据。若处置顺序不当，直接结束进程可能触发样本自删除，重启则可能丢失内存中的配置和连接信息。# 以管理员 PowerShell 执行，输出目录应位于受控介质\n$Out = \"C:\\IR\\Case-2025-01\"\nNew-Item -ItemType Directory -Force $Out | Out-Null\n\n# 文件属性、哈希和签名\nGet-Item \"C:\\ProgramData\\MediaCache\\update.exe\" |\n Format-List * > \"$Out\\file-info.txt\"\nGet-FileHash \"C:\\ProgramData\\MediaCache\\update.exe\" -Algorithm SHA256 |\n Format-List > \"$Out\\sha256.txt\"\nGet-AuthenticodeSignature \"C:\\ProgramData\\MediaCache\\update.exe\" |\n Format-List * > \"$Out\\signature.txt\"\n\n# 进程命令行和父进程关系\nGet-CimInstance Win32_Process |\n Select-Object ProcessId,ParentProcessId,Name,ExecutablePath,CommandLine |\n Export-Csv \"$Out\\process.csv\" -NoTypeInformation -Encoding UTF8\n\n# 当前 TCP 连接及对应进程\nGet-NetTCPConnection |\n Select-Object LocalAddress,LocalPort,RemoteAddress,RemotePort,State,OwningProcess |\n Export-Csv \"$Out\\tcp.csv\" -NoTypeInformation -Encoding UTF8\n\n# 常见持久化位置\nreg 逆向分析、样本行为与调试流程示意 网络请求、日志与边界流量分析示意
17小时前17小时 这类样本建议把“静态推断”和“运行期证据”分开记录，避免仅凭字符串就把某个域名或持久化方式当成结论。 静态侧先确认哈希、签名、架构和节区，再提取导入表、字符串及资源；对可疑配置重点看 URL、User-Agent、互斥体、服务名、计划任务名和加密相关 API。字符串可先用 Sysinternals Strings 粗筛： strings64.exe -n 6 -a sample.exe > strings.txt sigcheck.exe -a -h -i sample.exe 遇到看似乱码或缺少明文配置的情况，检查高熵节区、资源和解密例程；不要只凭熵值判断加壳。通信地址也要区分“硬编码候选”和“实际连接目标”，后者需在隔离虚拟机里结合 DNS、代理或抓包日志确认。 日志闭环上，可以提前启用 Sysmon 的进程创建、网络连接、DNS 查询和文件创建事件（常用 Event ID 1、3、11、22），同时记录样本哈希、虚拟机快照时间和时区。回放时按进程 GUID / PID、时间戳关联事件，重点核对启动项写入、子进程、解析域名及外联目标。这样能把“静态发现的配置项”与“实际发生的行为”对应起来，也便于复现和排除沙箱噪声。
.thumb.jpg.1e4ea9039360227acd0b9dbde7cb20d0.jpg)
创建帐户或登录后发表意见