TrojanDownloader简单分析

WinMain入口与自启动技术
最新推荐文章于 2025-08-02 13:27:39 发布
原创 最新推荐文章于 2025-08-02 13:27:39 发布 · 2.7k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文介绍了一个软件的WinMain入口实现，包括通过解密获取下载URL、注册服务及写入注册表实现自启动功能，同时探讨了首次运行时下载执行并标记的流程。

这里是WinMain的入口，先读取最后自己最后160解密出要下载的url:
在这里插入图片描述
注册服务和写入注册表来加入自启动
在这里插入图片描述
没有下载过就开一个线程去下载执行
在这里插入图片描述
下载执行并且标记为已下载
在这里插入图片描述

Trojan-Downloader.Win32.Generic.a...
06-08
病毒评估： 【病毒名称】：Trojan-Downloader.Win32.Generic.a 【病毒类型】：下载者 【危害程度】：中 【传播方式】：网络 【受影响系统】：windows 98以上 病毒行为： 该病毒为下载者木马类，病毒运行后调用API获取系统文件夹路径，衍生病毒文件到系统目录下； 并添加注册表启动项，提升进程权限为SeDebugPrivilege； 连接网络下载恶意病毒文件到本地执行。 清除方法： 1.断开网络； 2.关闭进程； 3.删除文件。 山丽友情提示：vista系统下请使用管理员权限运行本专杀工具。
Trojan专杀工具,用着真不错.
03-19
Trojan专杀工具,用着真不错;我在网上找了好长时间才长到的,愿意与大家一块来分享.另外,本人是教育行业的,分享一个好的英语资料下载站:http://www.51tjw.com
一个下载Trojan-Downloader.Win32.Delf.ajm，技术比较新奇的网页
Purpleendurer@优快云
01-08 1575
endurer 原创2007-01-08 第1版网页的内容为JavaScript脚本，分为三个部分：第1部分 是注释：/---------/*GW]22Y!9YZbYvwYvA]+Tuv*Y{y]{ uw]{y]y!]F u*uGf]F*YG]vlY Z]vAY*uGR]{cYTG]Tbu{*uG+Y+Z]+Tu&9]yTu +uvR]GW]F*]F!Y&z]+ou su{Gu
[06-20] 一个释放/运行EXE文件的CHM文件 Trojan.DL.Inject.fg（TrojanDownloader.Small.mp）（第3版）
Purpleendurer@优快云
06-18 1991
endurer　原创2006-06-20　第3版 补充：瑞星18.32.10将test.exe报为Trojan.DL.Inject.fg2006-06-19　第2版 补充：江民KV将test.exe报为TrojanDownloader.Small.mp2006-06-18　第1版一位网发来的cHM文件中有代码：  ＜body onselectstart="return fa
Trojan-Downloader.Win32.Agent.bbb以及aowgo.dll，KGFER.DLL的清除
weixin_34184561的博客
03-02 290
一、问题的提出： 我电脑上杀软是卡巴斯基,总是提示查到Trojan-Downloader.Win32.Agent.bbb的病毒,然后叫重启后删除,但是重启后没有作用,依然会弹出来,总是叫重启,我非常苦恼,希望你能帮帮我,万分感谢,扫描出的日志我贴在我的百度空间,希望尽快解决,TKS!! 二、分析 1.杀毒前关闭系统还原(Win2000系统可以忽略）：右键我的电脑...
遭遇trojan-downloader.win32.agent.vjh
NONAME的专栏
07-29 1590
 今天下午开始本打算学习ARCIMS的，正是因为要学习它就装软件吧，为了节约内存我把卡巴给关掉，于是惹来了trojan-downloader.win32.agent.vjh木马，真够郁闷的。现象：一旦机器启动如果卡巴随机启动，于是卡巴会提示发现病毒并要求处理，你点击处理不一会机器就自动重启了。然而卡巴还是会报告这是什么病毒。解决：自己先是去删除windows文件下东西。根本不管用。最后上网
[系统安全] 五十八.恶意软件分析 (10)利用火绒安全实现恶意样本家族批量标注（含学术探讨）
杨秀璋的专栏
04-26 1106
前文介绍了利用MS Defender实现恶意样本家族批量标注。这篇文章将讲解如何利用火绒实现恶意样本家族批量标注，在通过VS、VT采集批量样本后，通常需要样本家族标注，如何准确识别家族类别至关重要，其将为后续的恶意软件家族分类或溯源提供帮助。在此感谢李师弟热心的指导和帮助，基础性基础，希望您喜欢，且看且珍惜。
[网络安全提高篇] 一二八.恶意软件分析之利用MS Defender实现恶意样本家族批量标注（含学术探讨）
杨秀璋的专栏
04-24 1009
前文介绍了IDA Python配置过程和基础用法，然后尝试提取恶意软件的控制流图（CFG）。这篇文章将讲解如何利用MS Defender实现恶意样本家族批量标注，在通过VS、VT采集批量样本后，通常需要样本家族标注，如何准确识别家族类别至关重要，其将为后续的恶意软件家族分类或溯源提供帮助。在此感谢李师弟热心的指导和帮助，基础性基础，希望您喜欢，且看且珍惜。
[系统安全] 五十七.恶意软件分析 (9)利用MS Defender实现恶意样本家族批量标注（含学术探讨）
杨秀璋的专栏
04-18 1046
前文介绍了IDA Python配置过程和基础用法，然后尝试提取恶意软件的控制流图（CFG）。这篇文章将讲解如何利用MS Defender实现恶意样本家族批量标注，在通过VS、VT采集批量样本后，通常需要样本家族标注，如何准确识别家族类别至关重要，其将为后续的恶意软件家族分类或溯源提供帮助。在此感谢李师弟热心的指导和帮助，基础性基础，希望您喜欢，且看且珍惜。
22、恶意软件分析与检测：从CWSandbox报告中获取关键信息
最新发布
zzz56的博客
08-02 73
本文详细探讨了如何通过CWSandbox分析报告获取恶意软件的关键行为信息，包括其安装方式、传播机制、自我保护策略、与C&C服务器的通信、更新方式以及执行的恶意操作。通过对报告中各类数据的解读，可以有效识别和防御僵尸程序及其他类型的恶意软件威胁。文章还提供了实用的防护建议和分析流程，帮助安全人员构建更强大的恶意软件检测与防御体系。
病毒木马查杀实战第025篇：JS下载者脚本木马的分析与防御
墨鱼菜鸡
11-25 622
前言 这次我与大家分享的是我所总结的关于JS下载者脚本木马的分析与防御技术。之所以要选择这样的一个题目，是因为在日常的病毒分析工作中，每天都会遇到这类病毒样本，少则几个，多则几十个(当然了，更多的样本已经被自动分析系统拦截下来了)。而且这类的样本甚至还有愈演愈烈之势，很可能会长盛不衰。JS脚本木...
Trojan-Downloader.Win32.Agent.bmp分析与清除方案
congji2702的博客
06-27 1123
最近写的代码出现了这样奇怪的问题，所有的htm代码全部在结尾部分加上了这一小段代码 我估计是中了病毒。随后上网一查，果然是中了病毒。 晕 ~！ 开始紧张了，电脑上有许多重要的东西，赶快查找杀毒的方法。 幸好解决及时，重要文...
IE自动弹出窗口（JS/TrojanDownloader.Iframe.NDR 木马查杀）故障解决
weixin_33877092的博客
06-21 241
故障原因： 从网上下载了一个FAR HTML软件，运行注册机染毒（声明：运行之前已经对注册机扫描，Nod32和木马克星未报毒）； 症状： 打开IE后，每间隔一段时间，随机打开一个网页： http://www.dabao1.cn/adv.htm http://008.wangwang1.cn/bbs/fx.htm 等各类随机网页，打开的网站本身也是挂马的网站，Nod32会报警并自动关闭进程。   木...
Trojan/Android.GDownload.jw[exp,gen] 病毒报警解决方案
热门推荐
believer123的专栏
03-05 3万+
去年12月份开始，我的个人app记忆空间就被华为应用市场报病毒了，而且非常突然，之前都是好好的，突然报毒打得我猝不及防。 华为市场提供的信息如下： 你好，你的应用审核复测 应用经手机管家检测为风险软件，存在中等风险；无法上架； 是不是很坑，在使用华为手机进行验证才得知是病毒Trojan/Android.GDownload.jw[exp,gen]， 看得我一脸懵逼，因为对病毒处理这块没有太多的...
木马下载器Trojan-Downloader.Win32.Small.nkb
04-13 2551
捕获时间2008-04-12病毒症状该程序是使用VC编写的下载程序，由微点主动防御软件自动捕获，采用UPX加壳方式试图躲避特征码扫描,加壳后长度为8,704字节，图标为Windows默认可执行文件图标，病毒扩展名为exe，主要通过网页木马、文件捆绑的方式传播。病毒分析该木马程序被执行后，拷贝自身到%SystemRoot%/system32目录下,修改文件创建时间以及修改时间；通过API函数Crea
病毒HEUR:Trojan-Downloader.Win32.Generic
Gin工作室
08-06 4982
这个病毒一般是浏览网页留下的，病毒多在四个地方： C:/Documents and Settings/Administrator/Cookies C:/Documents and Settings/Administrator/Local Settings/Temporary Internet Files   C:/Documents and Settings/Default User/Co
Sality病毒专杀工具：深度解析与实战教程
weixin_32535825的博客
11-01 3477
本文还有配套的精品资源，点击获取 简介：Sality是一种影响Windows系统的感染型病毒，专门攻击.exe和.scr文件。自2003年首次出现以来，已演变成一种复杂的恶意软件。SalityKiller是为检测和清除Sality病毒而设计的先进反病毒工具。本文将详细探讨Sality的工作原理、SalityKiller的使用方法，以及预防Sality病毒的关键措施。通过这些...
windwos系统安全手工排查以及朔源应急响应技巧
it知识分享 free for nothing..
09-14 1096
共享目录登录记录位于windows安全日志中，登录类型为3，常见的基于共享目录的攻击行为是IPC爆破，若爆破成功，攻击者可以将受攻击主机的磁盘文件映射到本地，造成信息泄露。注意：有时候登录记录会十分多，分析起来难度大，因此我们可以根据前期收集到的信息来帮助我们缩小审计范围，比如异常现象发生的时间，恶意文件创建的时间等，可在这类时间点附近查找异常的登录记录。隐藏模块往往也是动态库模块，但它肉眼观察不到（Windows系统工具看不到，PCHunter等工具也看不到），是很隐蔽的一种手段，属于难查难杀的类型。
远程控制-Sality（需专杀工具请三连并私信）
傲月大人的博客
07-23 3499
威胁描述： Sality病毒是一种复杂多变、多态化的感染型病毒，受影响系统为微软Windows，感染对象为exe和scr文件。 Sality最早于2003年被发现，随着多年的发展，Sality病毒已逐渐变得愈加顽固，其主要恶意代码体可实现动态、持久、功能齐全的病毒行为。比较新的Sality病毒变种，甚至采用了大量的rootkit技术，以隐藏自己和对抗杀毒产品。 感染Sality病毒往往是灾难性的，整个磁盘文件的绝大数exe和scr都会被植入恶意代码。由于Sality采用了多态变形加密，使每一次感染的二
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值