ldj.exe的分析！并附上部分专杀代码
发改委网站被挂马，芳芳发现的，分析了一下
一
母体文件ldj.exe的分析：（母体文件在加载完ocx后代码开始混乱了，不知道是我的机子上还有别的木马，还是加载后的问题）
主要有几个行为：1，生成dbr99008.ocx和dbr31004.ocx
2，复制rundll.exe到C:\WINDOWS\SYSTEM32\gbvgbv31.exe,并运行，加载上述文件，并注入到explorer.exe中
3，Winston0\default方式交互
4，解密出4个收信网址
00401100 68 74 74 70 3A 2F 2F 67 http://g
00401110 75 63 63 69 2E 74 6C 79 73 6A 2E 63 6F 6D 3A 39 ucci.tlysj.com:9
00401120 39 36 32 2F 66 72 62 2F 72 62 2E 61 73 70 962/frb/rb.asp
00401180 68 74 74 70 3A 2F 2F 67 http://g
00401190 75 63 63 69 2E 74 6C 79 73 6A 2E 63 6F 6D 3A 39 ucci.tlysj.com:9
004011A0 39 36 32 2F 66 74 2E 61 73 70 962/ft.asp
00401208 68 74 74 70 3A 2F 2F 67 75 63 63 69 2E 74 6C 79 http://gucci.tly
00401218 73 6A 2E 63 6F 6D 3A 39 39 36 32 2F 46 6F 6E 65 sj.com:9962/Fone
00401228 39 2F 6A 75 73 74 2E 61 73 70 9/just.asp
00401288 68 74 74 70 3A 2F 2F 76 35 2E 37 31 77 61 70 2E http://v5.71wap.
00401298 63 6F 6D 3A 39 39 36 32 2F 46 6F 6E 65 39 2F 6A com:9962/Fone9/j
004012A8 75 73 74 2E 61 73 70 ust.asp
另外，还生成一种字体ttf文件，没发现有什么作用，应该是中间过度吧，不过一直在fonts文件夹下就没有找到这个文件！！
母体加了upx，到达oep，像一些简单的函数，就不贴代码了
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
