勒索病毒傀儡进程脱壳

样本是：wallet勒索病毒 环境：虚拟机VMWARE win7 32位 工具：OD，winhex 初次拿到样本，先用火绒剑工具监控下病毒样本的流程，可以看到有一个自创建进程的行为。 我们等找到OEP后，在CreateProcessA下断点进行跟踪， 找到OEP后，对CreateProcessA下断点 返回查看后续远程写执行代码操作，提前将断点打好 开始按F9，准备DUMP病毒执行代码，同时打开W

>>阅读原文<<