delphi 2016 下载 Zebrocy新组件入侵过程详细解析(2)

Zebrocy的经典“作案手段”是让受害者收到有附件的电子邮件。该附件包含两个文件，一个是良性文档，另一个是可执行文件。运营者试图通过“双扩展名”技巧把可执行文件命名为表面上是文档或图像的文件来欺骗受害者。

图1中案例3所示的新模式，使用了更为复杂的过程。下面我们将剖析这个过程。

Delphi注入器第一个二进制文件是Delphi注入器，这对Zebrocy来说很不寻常。大多数情况下，第一阶段安装在受害者系统上是一个下载器而不是注入器。

芜湖网站关键词优化排名.采用关键字堆积的方式，比如把关键字用xx关键字这种方式，因为用户看不到这个关键字，但搜索引擎是可以看到这种关键字的，所以可以把一些无关的关键字堆积到一起欺搜索引擎，而对用户感受又是友好的。

1、文章的描述里必须包含页面关键字，如一片文章有多个页面，关键字最好全部在描述中出现。

可以将目标网页传给公司成员之外的亲友，请他们阅览后回答这个网页的重点内容与主题，如此作法可帮助操作者了解其他人对网站的看法，以找到更精準的关键字，而在决定关键字前，别忘了用google搜索该关键字，了解该关键字在google眼裡，和自己要操作的网页有没有相关性。

一些seo插件可以分析页面内容并给出优化建议，比如内容是否包含特定的关键字， 图片的‘title’and‘alt’标签是否完整，是否包含meta描述和title标签。

$ yara -s tag_yara.yar  SCANPASS_QXWEGRFGCVT_323803488900X_jpeg.exe
find_tag SCANPASS_QXWEGRFGCVT_323803488900X_jpeg.exe
0x4c260:$tag: l\x00i\x00v\x00e\x00r\x00
0x6f000:$tag: liver
0x6f020:$tag: liver
0x13ab0c:$tag: liver

上面的YARA规则寻找liver字符。第一个liver是在代码中使用的，它不分隔任何东西，而其他liver分隔密钥描述符、图片（下面的hexdump）和注入器中被加密的payload。

$ hexdump -Cn 48 -s 0x6f000  SCANPASS_QXWEGRFGCVT_323803488900X_jpeg.exe
0006f000  6c 69 76 65 72 4f 70 65  6e 41 69 72 33 39 30 34  |liverOpenAir3904|
0006f010  35 5f 42 61 79 72 65 6e  5f 4d 75 6e 63 68 65 6e  |5_Bayren_Munchen|
0006f020  6c 69 76 65 72 ff d8 ff  e0 00 10 4a 46 49 46 00  |liver……JFIF.|

从图片开始，如果C:\Users\public\Pictures\scanPassport.jpg文件不存在，则将其注入。有趣的是，注入的文件名SCANPASS_QXWEGRFGCVT_323803488900X_jpeg.exe也暗示了围绕旅行或护照信息的网络钓鱼方案。这可能表示运营者明确网络钓鱼邮件的目标。注入器打开图片：如果文件存在，它将停止执行; 否则，它会注入图片，打开它，并检索密钥描述符OpenAir39045_Bayren_Munchen。当文件格式有效时，图片不显示任何内容; 见图2。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-90734-2.html