Windows应急响应-PcShare远控木马

应急背景

曲某今天想要装一款软件，通过网上搜索看到非官方网站进入后直接下载下来后进行安装，他发现双击安装的时候存在无响应一段时间后才开始安装，由于他自己电脑是新的而且配置也不错，没有遇到过这种情况，感觉可能这个安装软件有问题 ，所以他就找到了竹某，希望帮他排查一下电脑是否中病毒木马了。
竹某了解情况后就上机进行排查。

木马查杀

1.查看异常连接

netstat -ano | findstr "ESTABLISHED"

发现存在异常连接

线索卡
1.异常连接，端口号4024

2.查看进程

使用PChunter工具
PChunter工具分享地址：https://pan.baidu.com/s/1_OMmoe5aFGDu3–q0u94pw?pwd=w3rb
查看进程模块

发现有两个dll调用模块没有厂商签名验证

这里使用sigcheck再次对签名进行校验判断，两个dll文件确实是没有校验的。
Sigcheck工具分享地址：
https://pan.baidu.com/s/1qqA5T1ySskwc-_gVWO1MDA?pwd=d7jl
使用方法：signatrue.exe 指定文件路径

接着拷贝出来丢到沙箱上，结果出来就确定是木马，看到特征Variant.PcClient，可能是PcShare远控木马。