Sven的忘却日记

zhp.exe存在dll劫持，导入表中依赖ZfHookPolicy.dll导出的1和4号函数。效果图：

在推特上刷到这条推文推文中的博客链接提到这是针对越南司法部的APT攻击，并提供了样本文件Hashrtf样本文件sha1:41f0757ca4367f22b0aece325208799135c96ebe1dcafcd752d3f3c8dd4a5ccf该样本文件运行后会释放两个文件到用户temp目录：C:\Users\admin\AppData\Local\Temp\wsc.dll4e8...

最近有一个网友发给我一个QQ图20190427141352.chm的文件，让我看看是不是木马。根据经验，这种CHM一般都是里面有个html文件，通过js调用com控件，然后间接执行释放出来的木马文件。使用7z打开这个chm文件，可以看到里面果然有一些exe文件以及dll文件。双击执行这个chm文件后，果然里面的PcOL.exe被执行了经过分析这个exe可不简单，不但有腾讯有效数字签名，还...