CM系列V1[本地验证]

软件界面

软件MD5
1f6c90be15c6315a2ff27f162277711d
灵秘V1.rar (1.34 MB, 下载次数: 271)

2019-7-26 13:40 上传

点击文件名下载附件

V1主要是线程检测OD
逆向本身无难度
判断秘钥代码为
判断（编辑框=**）
信息框（“**”）

V2为本地函数计算验证
为
秘钥框内容写入变量
功能代码写缺失
写内存（变量a）
a=G
b=C
GCE不等于E
E=进程ID
G=写入功能
也就是编辑框1内容不符合要求
则GC功能进行缺失（需手工补全）
V3
V1+V2 拒绝windos自身dll 全运行过程使用自身
写临时linux本地配置
已linux的运行模式运行程序
V4=V3+V2+V1
linux下释放临时进程 临时进程调试自身
（任何程序软件都无法被两个程序同时调试）
V5及之后正在写

2730345665 发表于 2019-7-26 13:55
V2为本地函数计算验证
为
秘钥框内容写入变量

拿自调试 是不是看不起内核调试器？  
其实还是远程写lsass进程 汇编附加进程 在判断LASTERROR  这个比自调试好多了  稳定还兼容

狐白小刺客 发表于 2019-7-26 22:03
拿自调试 是不是看不起内核调试器？  
其实还是远程写lsass进程 汇编附加进程 在判断LASTERROR  这个比 ...

有人给了我个迷你的linux（可窗口运行 类似虚拟机那种） 软件会先释放linux 然后把自身的文件写进linux 软件只有在linux的环境才能运行  在linux内进行穿透读写（类似勒索病毒那种） 在linux环境下首先你得有一个兼容双重调试的KDB才能进行正常修改吧  如果你禁用了穿透读写那么软件没功能是自然的对吧 不禁用的话软件在linux环境下运行你准备从win环境进行KDB？

2452093141 发表于 2019-7-27 20:50
火绒报毒内核后门@Shark恒

经过和恒大的沟通确认误报。。。。。

2452093141 发表于 2019-7-27 20:50
火绒报毒内核后门@Shark恒

软件确实调用了内核hook了颜色管理

2730345665 发表于 2019-7-26 13:50
V1主要是线程检测OD
逆向本身无难度
判断秘钥代码为

膜拜大牛大牛牛逼