记一次典型的压缩包钓鱼木马，简单进行一下恶意样本分析，黑客技术零基础入门到精通教程！

一. 样本概述

一个典型的压缩包钓鱼木马，使用快捷方式迷惑受害者，引导受害者点击，进而执行恶意代码，最终通过反射加载执行最终的cs马。

二. 样本分析

2.1 基本信息

解压压缩包发现只有一个文件，其中一个是docx文件，只有2KB大小，但是压缩包有29MB，那肯定是被隐藏了，通过文件夹设置能够看到其实是有两个文件的，其中docx文件是一个快捷方式。

我给大家准备了一份全套的《网络安全入门+进阶学习资源包》包含各种常用工具和黑客技术电子书以及视频教程，需要的小伙伴可以扫描下方二维码或链接免费领取~

三. 样本分析

3.1 快捷方式文件分析

3.1.1 执行流程

该docx指文件向ftp.exe程序，去执行init\lib\libcurl.dat文件。

libcurl.dat文件为文本文件，里面记录了ftp.exe需要执行的指令其中值得关注的就是调用Java进程执行init\lib目录下jar包中的startup函数

经过分析后发现startup函数在eaio.jar包中，在startup函数中可以看到会调用string.Sign()函数解密出一段byte[] SignData数据，随后交给user.login函数加载。

在Sign函数中会调用system.WriteStart函数，这个函数用于设置自启动，该函数会首先在C:\ProgramData\目录下随机生成5位字符串%random5%并和字符串java*结合，创建java*%random5%文件夹，随后将恶意程序拷贝到该目录下，并创建快捷方式，并将快捷方式放入自启动目录中。Java代码如下：

继续观察login函数，可以看到这个函数使用反射加载去加载sign中的字节码文件，最终调用sign中的startup函数。

编写代码将sign字节码进行保存，并进行反编译得到的源码如下所示：

从上图中的代码可以看到，在反射加载的startup函数中首先从“C:\Users\root\IdeaProjects\untitled_nit\lib\base.ejs”中获取key然后从“C:\Users\root\IdeaProjects\untitled\init_\lib\packman.ejs”获取加密后的shellocde，并通过异或解密出最终的shellcode，最后通过“sun.tools.attach.WindowsVirtualMachine”中的“enqueue”执行最终的shellcode。

将最终的shellcode进行保存可以得到该shellcode为cobalt strike生成的木马，使用cs工具获得最终的配置信息（里面包含的信息有IP太多了，这里不附图了。。）

网络安全学习资源分享:

给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，请看下方扫描即可前往获取

👉1.成长路线图&学习规划👈

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

👉2.网安入门到进阶视频教程👈

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。（全套教程扫描领取哈）

👉3.SRC&黑客文档👈

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！ （全套教程扫描领取哈）

👉4.护网行动资料👈

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

👉5.黑客必读书单👈

👉6.网络安全岗面试题合集👈

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

所有资料共282G，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，可以扫描下方二维码或链接免费领取~