一

样本信息

样本主要行为：

 从指定链接http://27,124,40,155:8000/j-1 下载文件并执行；该文件从指定的URL处下载多个载荷文件并执行；

二

j-1 分析：

文件信息：

样本主要行为：

从指定的URL处下载多个载荷文件并执行；

详细分析：

弹框内容如下：

下载文件

最终的下载链接如下：

三

随机名称exe分析

持续驻留

对jpg的解密

sub_100019A0即为解密函数;可以用c++调用shellcode快速解密；
sub_10002630为查找调用dll的Edge;

DLL文件分析

设置隐藏文件

反分析检测

下载文件并释放到指定目录，并设置隐藏

监控按键

设置持久化

添加服务

更新C2后门地址

获取QQ号

其他功能

原文始发于微信公众号（看雪学苑）：【远控木马】银狐组织最新木马样本-分析