恶意代码分析实战 Lab11

lab11-01 1静态分析一波,发现有资源节存在,自然要照例用resourcehacker看看,有没有问题,果然存在一个PE文件在资源节,而且看导入函数中存在资源相关函数也能证实 字符串有几个需要注意,特别是下面这个注册表项,很可能恶意代码,是要挂钩winlogon事件 现在看看代码,首先是得到当前模块句柄,也就是Lab11-01的句柄,然后做一些初始化操作把这个句柄传给函数sub_401080

>>阅读原文<<