【免杀实战】- 分析与利用360规则库复活国护钓鱼木马

C:WindowsSystem32ftp.exe -""s:__init__libgcc.dll

C:WindowsSystem32ftp.exe -s:__init__libgcc.dll

C:WindowsSystem32ftp.exe -s"":__init__libgcc.dll

FN@=ftp.exe|IN=ftp.exe|CL@=-s:|RID=10001|IC=1|CQ=0,0|

CQ=云引擎查询XX=特征码比较DLL_HIJACK=DLL劫持QUERY_WITH=上行查询报文IN=InternalName(内部名)SP=签名快速检查MD5=MD5SC=签名公司PV=产品版本PN=产品名LC=版权声明FV=文件版本FD=文件描述CN=公司名SI=大小ON=原始文件名FNS = 文件名列表LOLBin = 白利用拦截OSVER = 该规则生效的操作系统版本范围DCOMPARAM = 获取DCOM调用时RPC Buffer中的参数信息DCOM = DCOM调用接口名DCOMPORT = DCOM调用的函数序号GUID = 调用时传入的GUID值REG=注册表键值T5S=5秒内是否dll过检测TN=TMOD文件名PF=来源进程父进程文件名PA=程序参数CP=调用外部程序RID=强行修改规则IDAH=防黑加固PT=进程链DW=危险白进程EI=扩展信息CL=进程命令行比较FN=文件名NONE=啥都不是

FN@=ftp.exe|IN=ftp.exe|CL@=-s:|RID=10001|IC=1|CQ=0,0|
FN=文件名IN=InternalName(内部名)CL=进程命令行比较RID=强行修改规则IDIC=CQ=云引擎查询