22、恶意软件功能与持久化技术解析

恶意软件功能与持久化技术解析

1. 恶意软件利用PowerShell的示例

在一些恶意软件攻击中，攻击者会巧妙运用PowerShell来执行恶意操作。例如，在调用PowerShell之前，恶意软件投放器会先在 %Temp% 目录下写入一个扩展名为 .bmp 的DLL文件（如 heiqh.bmp ），接着通过PowerShell启动 rundll32.exe 来加载该DLL，并执行其导出函数 dlgProc ，具体命令如下：

PowerShell cd $env:TEMP ;start-process rundll32.exe heiqh.bmp,dlgProc

攻击者还会使用各种混淆技术，增加分析难度。若想了解攻击者如何进行PowerShell混淆，可观看相关演示视频。

2. 恶意软件持久化方法

为了让恶意程序在受感染的计算机上长期存在，即便Windows重启也能继续运行，攻击者会采用多种持久化方法。以下为您详细介绍常见的几种：
- 运行注册表项（Run Registry Key）
- 原理 ：攻击者通过向运行注册表项添加条目，使添加的程序在系统启动时自动执行。常见的运行注册表项如下表所示：
| 注册表项 | 说明 |
| — | — |
| HKCU\Software\Micro