惡意代碼分析實戰 Lab13

lab13-01 1 2首先調用sub_401300函數 程序是一系列的資源操作函數,目的是找到資源 存到內存在調用401190解密,可以到,是在和3bh進行異或解密,最後把數據地址傳回 我們用resourcehaacker看一下 把它保存二進制文件再用winhex打開,再把數據異或3bh,得到一個url 接着看程序,調用WSAStartup,wsa啓動命令 然後兩個sleep(分別睡了500ms

>>阅读原文<<