OD加载1.exe，运行后观察火绒剑或者procexp，发现一个子程序，如图： ok麻烦事儿来了==，分析完母体还得分析子程序。 先查壳， NSIS….百度一下发现 恩 不仔细看了 估计是打包程序的程序，不是什么壳。 通过静态分析IDA和火绒剑的分析发现： 1获取母体路径，然后在C:\Documents and Settings\Administrator\Local Setting\Temp 即“//temp”下释放临时文件 2创建NVIDIA Corporation\Update文件夹释放子程序，并运行。 3然后改注册表。 4最后把1.exe删除，结束母体进程。 大概就是这么回事，然后OD仔细看看。 母体路径 然后获取完整路径，用“(即22)作为结束符判断 继续看 这个临时文件先不管是用来做什么的 总之就是call到temp文件然后又call回来…个人理解为是在干扰分析用的。 继续看： 这是在C:\Documents and Settings\Administrator\Local Settings\Application Data\NVIDIA Corporation\Update\路径下创建子程序 然后运行 最后关闭 00401E8A |> FF15 EC704000 CALL DWORD PTR DS：[<&KERNEL32.CloseH>; \CloseHandle
后面就是连续的改名并对子程序创建Key。 然后分析子程序因为已经在运行所以不用把子程序拉入OD 检查自己是否存在并删除母体 后来发现在火绒剑上有TCP/IP活动，我就点开一看发现之前访问的ip没了，就寻思着把子程序直接拖进od发现并不能运行只好把所有生成的文件全删了 然后再来一遍发现 各种不停的发包和接包 最后扔到火眼里也没有明确报告 根据他一直send 感觉是远控木马。
