AutoUpdate一款可疑更新程序分析报告

最新推荐文章于 2024-04-09 09:57:31 发布
原创 最新推荐文章于 2024-04-09 09:57:31 发布 · 1.7k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文分析了一款名为AutoUpdate.exe的木马程序，详细描述了其加壳技术、连接网络、修改注册表等恶意行为，并提出了利用杀毒软件和手工查杀的解决方案。

1样本概况

病毒名称为AutoUpdate.exe，运行后无窗口。采用UPX加壳，编写语言为Microsoft Visual C++ 6.0。

1.1 样本信息

病毒名称：AutoUpdate.exe

所属家族：木马

MD5值：776DA18E62B346BB7B9F3F9F9C4FC158

SHA1值：D541E35CAAD8DDC641C59A550218EAF289B64D9C

CRC32：47CD188F

病毒行为：

连接到指定网络IP,接受发送数据包、修改注册表。

1.2 测试环境及工具

环境：WIN7 

工具：IDA 、OD、PCHunter

2.具体行为分析


最低0.47元/天 解锁文章
c_cold1988
关注
Autoupdate.exe
06-22
不限速的百度网盘程序 ，
AutoUpdate.exe
08-05
获取信息硬件信息；比如每个硬盘的大小(物理硬盘，未分区)、显示器个数以及尺寸，系统信息，IP地址，bios更新日期 ，电脑开关机时间 。并通过http通信将硬件信息发送到统一的服务器
AutoUpdateTool_AutoUpdater自动更新程序_源码
10-04
http可提供在线应用程序升级更新等功能
autoupdate.exe
ProcessInfo的专栏
11-20 995
  进程知识库 autoupdate - autoupdate.exe - 进程信息进程文件： autoupdate 或者 autoupdate.exe进程名称： AT&T Hardware Autoupdate  描述：autoupdate.exe是AT&T相关产品进程，用于下载升级软件。
AutoUpdate
08-03
App 版本更新步骤： 1、checkUpdate（）//检测版本是否需要更新 2、downLoadAPK（）//下载新版本的APP 3、installAPK（）//安装新版本APP
xred病毒分析
好好学习，天天向上
07-16 9846
xred病毒是一种感染型病毒，会感染系统中特定目录下的exe和xlsx文件，该病毒会将自身伪装成Synaptics触摸板驱动程序，使用Dephi编写。 使用IDR导出map文件和idc脚本 idc脚本可以帮助IDA pro更好的识别dephi的结构体和函数名 map文件是给OD使用的 Dephi的数据结
autoupdade
最新发布
09-12
- 第二条消息是用户消息："参考站内引用:引用[1]:AutoUpdate一款可疑更新程序分析报告。... [^1]。上述引用仅供参考，并不是用户真正的需求，请尽可能多的参考用户上一次的问题和你的回答。我想可能是想了解自动更新...
C# WinForms自动更新功能实现源代码解析
从文件名称“AutoUpdate”可以推断，这是一个专用于处理应用程序自动更新功能的源代码文件。可能包含以下类或方法： - AutoUpdater 类：负责管理整个更新过程，包括检查更新、下载更新包、启动更新安装等。 - ...
【CDO安全性分析】：确保企业邮件通讯的安全性
![【CDO安全性分析】：确保企业邮件通讯的安全性]... CDO安全性分析概述 随着信息技术的快速发展，企业正面临日益严峻的安全挑战。首席数字官（Chief Digital Officer, CDO）作为企业数字化转型的关键推动者，
************** 异常文本 ************** System.ComponentModel.Win32Exception (0x80004005): 操作已被用户取消。 在 System.Diagnostics.Process.StartWithShellExecuteEx(ProcessStartInfo startInfo) 在 System.Diagnostics.Process.Start(ProcessStartInfo startInfo) 在 AutoUpdate.EHSHighEnergyNew.timer1_Tick(Object sender, EventArgs e) 在 System.Windows.Forms.Timer.OnTick(EventArgs e) 在 System.Windows.Forms.Timer.TimerNativeWindow.WndProc(Message& m) 在 System.Windows.Forms.NativeWindow.Callback(IntPtr hWnd, Int32 msg, IntPtr wparam, IntPtr lparam) ************** 已加载的程序集 ************** mscorlib 程序集版本:4.0.0.0 Win32 版本:4.8.9310.0 built by: NET481REL1LAST_C 基本代码:file:///C:/Windows/Microsoft.NET/Framework64/v4.0.30319/mscorlib.dll ---------------------------------------- CCMC OT Login Pad 程序集版本:1.0.0.0 Win32 版本:1.0.0.0 基本代码:file:///C:/Users/zhangt10/Desktop/CCMC%20OT%20Login%20Pad.exe ---------------------------------------- CrowdStrike.Sensor.ScriptControl 程序集版本:7.23.19508.0 Win32 版本:7.23.19508.0 基本代码:file:///C:/WINDOWS/assembly/GAC_MSIL/CrowdStrike.Sensor.ScriptControl/7.23.19508.0__02b60967b1f68187/CrowdStrike.Sensor.ScriptControl.dll ---------------------------------------- System.Windows.Forms 程序集版本:4.0.0.0 Win32 版本:4.8.9256.0 built by: NET481REL1LAST_B 基本代码:file:///C:/WINDOWS/Microsoft.Net/assembly/GAC_MSIL/System.Windows.Forms/v4.0_4.0.0.0__b77a5c561934e089/System.Windows.Forms.dll ---------------------------------------- System 程序集版本:4.0.0.0 Win32 版本:4.8.9310.0 built by: NET481REL1LAST_C 基本代码:file:///C:/WINDOWS/Microsoft.Net/assembly/GAC_MSIL/System/v4.0_4.0.0.0__b77a5c561934e089/System.dll ---------------------------------------- System.Drawing 程序集版本:4.0.0.0 Win32 版本:4.8.9032.0 built by: NET481REL1 基本代码:file:///C:/WINDOWS/Microsoft.Net/assembly/GAC_MSIL/System.Drawing/v4.0_4.0.0.0__b03f5f7f11d50a3a/System.Drawing.dll ---------------------------------------- System.Configuration 程序集版本:4.0.0.0 Win32 版本:4.8.9032.0 built by: NET481REL1 基本代码:file:///C:/WINDOWS/Microsoft.Net/assembly/GAC_MSIL/System.Configuration/v4.0_4.0.0.0__b03f5f7f11d50a3a/System.Configuration.dll ---------------------------------------- System.Core 程序集版本:4.0.0.0 Win32 版本:4.8.9297.0 built by: NET481REL1LAST_C 基本代码:file:///C:/WINDOWS/Microsoft.Net/assembly/GAC_MSIL/System.Core/v4.0_4.0.0.0__b77a5c561934e089/System.Core.dll ---------------------------------------- System.Xml 程序集版本:4.0.0.0 Win32 版本:4.8.9032.0 built by: NET481REL1 基本代码:file:///C:/WINDOWS/Microsoft.Net/assembly/GAC_MSIL/System.Xml/v4.0_4.0.0.0__b77a5c561934e089/System.Xml.dll ---------------------------------------- Accessibility 程序集版本:4.0.0.0 Win32 版本:4.8.9032.0 built by: NET481REL1 基本代码:file:///C:/WINDOWS/Microsoft.Net/assembly/GAC_MSIL/Accessibility/v4.0_4.0.0.0__b03f5f7f11d50a3a/Accessibility.dll ---------------------------------------- System.Windows.Forms.resources 程序集版本:4.0.0.0 Win32 版本:4.8.9032.0 built by: NET481REL1 基本代码:file:///C:/WINDOWS/Microsoft.Net/assembly/GAC_MSIL/System.Windows.Forms.resources/v4.0_4.0.0.0_zh-Hans_b77a5c561934e089/System.Windows.Forms.resources.dll ---------------------------------------- mscorlib.resources 程序集版本:4.0.0.0 Win32 版本:4.8.9032.0 built by: NET481REL1 基本代码:file:///C:/WINDOWS/Microsoft.Net/assembly/GAC_MSIL/mscorlib.resources/v4.0_4.0.0.0_zh-Hans_b77a5c561934e089/mscorlib.resources.dll ---------------------------------------- ************** JIT 调试 ************** 要启用实时(JIT)调试， 该应用程序或计算机的 .config 文件(machine.config)的 system.windows.forms 节中必须设置 jitDebugging 值。 编译应用程序时还必须启用 调试。 例如: <configuration> <system.windows.forms jitDebugging="true" /> </configuration>
09-09
如果该文档的关联程序启动过程中出现问题或者用户取消了关联程序的操作（比如打开一个未知扩展名的文件时，系统询问用什么程序打开，用户点了取消），也会导致这个异常。确保文件关联正确，或者尝试直接启动可执行...
AutoUpdate自动更新系统
07-28
一个可以用户自定义的自动更新系统，现在我只做了FTP的支持，HTTP比较懒没有做，还有代理支持也没有做，慢慢完善吧；有一个mpd文件时用ModelMakder做的，如果你安装了可以打开来看。
stableUpdate autoupdate tool-开源
04-26
一个基于Java的自动更新模块。 生成的更新将在存档中传输，在后续版本之间进行升级。 一个更新包含更改的单个文件以及jar和zip的一部分。 镜像，发行说明，更新卸载，新闻。
autoUpdate_免费版
07-29
我最近开发的简单好用的自动升级程序，适用于所有windows的程序使用；在程序中引用简单；支持多语言。 1.在你程序开始运行的代码中加入： WinExec(PChar('"AutoUpdate.exe" /silence'), SW_SHOW); 2.在你程序菜单加一项，其代码为: WinExec(PChar('"AutoUpdate.exe"'), SW_SHOW); AutoUpdate.ini为自动升级的配置文件 [AutoUpdate] URL=http://www.yourweb/update/AutoUpdate.xml #指定下载的新版本说明文件 updateAppCaption=smartit IM #要更新的更新界面的程序名称 checkVerApp=smartitIM.exe #要更新的主程序，以此程序的版本与AutoUpdate.xml中版本对比 checkVerAppRegRootKey=\Software\smartitIM #若主程序中将当前版本号写入的注册表区，可不配置 [copyright] homepage= #更新界面的连接网址 licensekey= #注册后可设置你自己的版权信息 #多语言配置 [Locale_en] [Locale_zh-CN] AutoUpdate.xml为批明新版本的下载文件和新版本说明等，大家可参考此格式写自己的更新文件，有两种格式： 1.以一个安装程序来更新: 新版本说明 2.只更新几个文件的： 新版本说明
自动升级AutoUpdate
09-27
源码提供，自动升级小程序，可以自动从指定目录下载（在updatelist.xml文件下Url指定），简单方便，实用。 调用也很简单，只需在你的主程序上直接调用即可。调用代码如下： string sUpdateEXE = Application.StartupPath + @"\AutoUpdate.exe"; if (File.Exists(sUpdateEXE))//检查更新文件是否存在 { System.Diagnostics.Process.Start(sUpdateEXE);//启动更新程序 }
AutoUpdateProject:App 内部更新 提供12种更新的样式 适配到Android 9.0 支持自定义UI 断点续传
04-21
AutoUpdateProject 系列 在工作之余，打算将一些常用的逻辑页面，模块，功能点做成library库，这样当有相似需求的时候，可以做到插拔式开发！现在系列中有以下内容 特点概述 最大亮点，提供12种更新的样式，总有一个是你喜欢的类型！ 支持三种设置更新信息的方式，您可以直接传model，传json数据，或者直接配置请求链接，sdk会自主请求并发起app的更新，满足多方需求！ 文件下载支持断点续传，下载错误拥有重试机制；相同版本的apk只会下载一次，防止重复下载！ 使用接口方式获取数据时支持设置请求头，支持POST和GET请求方式，更灵活。 调用者可以自定义UI实现更新功能。 已适配Android 6.0，Android 7.0，Android 8.0，Android 9.0。 提供强制更新，不更新则无法使用APP，同时可以根据后台返回受影响的版本号，可控制多个版本同时被强制更新
Tencent autoUpdate.exe
qq 117791303
09-11 226
QQ.9.0版本头像是圆形的， QQ8.1版本头像是正方形。 简单的说从审美绝对圆形好看，但是哦，数学角度说正方形面积大，观赏性强很多。 所以我很讨厌这个9.0版本，于是我想关闭自动更新。 QQ这个功能基本没用，什么关闭自动更新，还是给你更新过去了。 于是我就删除了QQ自动更新程序 然后QQ应该有自动检测程序文件吧。 接着自动掉线了。凉凉。。。根迅雷一样，...
自动更新项目的强大工具：AutoUpdateProject
gitblog_00059的博客
04-09 741
自动更新项目的强大工具：AutoUpdateProject 项目简介 在软件开发领域，保持应用的最新状态是至关重要的。 是一个开源项目，致力于简化应用程序的自动更新流程。开发者可以利用这个框架，轻松地为自己的应用添加自动检查和下载更新的功能，无需花费大量时间和精力去编写复杂的更新逻辑。 技术分析 AutoUpdateProject 使用了先进的技术栈，包括但不限于： 多平台支持：基于Java语...
自动更新程序
eidolon's blog
03-23 1193
其中包含的功能有2大部分，一个是制作自动更新部署包，一个是自动更新，通过读取远程配置文件，比对本地文件，完成本地文件的更新。//查询指定路径下的运行的进程。//获取被占用的进程。//强制关闭被占用的进程。使用certutil来查看本地文件与服务器文件差异，此方法的好处是没有程序被占用时无法获取md5的问题。/// 获取指定文件或目录中存在的(关联的)运行进程信息，以便后面可以解除占用。else //如果乱码，则进行特殊的比对。来实现外部程序对它的调用。文件需要更新前，关闭相应的文件夹中正在执行的应用程序。
升级精灵-autoupdate
07-20
升级精灵 autoupdate,自动升级，自动更新
C#开发的通用更新程序AutoUpdate功能解析
通用更新程序的设计与实现是一个复杂的过程，它需要程序员具备良好的C#编程基础、网络编程知识、文件操作经验以及对软件更新流程的深入理解。开发者还需要对用户体验给予充分的考虑，确保更新程序不仅能够完成其基本...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值