导致资源管理器崩溃的dll

落华无痕

样本（infected）:https://free.lanzoue.com/ic0Yn2aywvuf
sys里的是原版系统文件，vir里的是样本。

样本创建了注册表项HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{A47979D2-C419-11D9-A5B4-001185AD2B89}，Network List Manager。导致explorer.exe进程反复崩溃，错误模块combase.dll，错误代码0x80040154没有注册类。

Komeiji-Reimu

卡巴斯基kill
HEUR:Trojan.Win32.Agent.gen

1073328164

迈克菲扫描 miss

aikafans

eis 扫描miss

UNknownOoo

火绒
扫描：MISS

wowocock

应该是新的感染型病毒，PATCH DLLMAIN的第一条指令为跳转指令，跳到病毒代码执行
.text:000007FF70201030                      ; BOOL __stdcall DllMain(HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpReserved)
.text:000007FF70201030                                      public DllMain
.text:000007FF70201030                      DllMain         proc near               ; DATA XREF: HEADER:000007FF70200118↑o
.text:000007FF70201030                                                              ; .pdata:ExceptionDir↓o ...
.text:000007FF70201030
.text:000007FF70201030                      arg_0           = qword ptr  8
.text:000007FF70201030                      arg_8           = qword ptr  10h
.text:000007FF70201030
.text:000007FF70201030 E9 31 AF 00 00                       jmp     sub_7FF7020BF66
.text:000007FF70201035                      ; ---------------------------------------------------------------------------
.text:000007FF70201035
.text:000007FF70201035                      loc_7FF70201035:                        ; CODE XREF: sub_7FF7020BF66+2B↓j
.text:000007FF70201035 48 89 74 24 10                       mov     [rsp+arg_8], rsi
.text:000007FF7020103A 57                                   push    rdi

zaas:000007FF7020BF66                      sub_7FF7020BF66 proc near               ; CODE XREF: DllMain↑j
.zaas:000007FF7020BF66
.zaas:000007FF7020BF66                      arg_0           = qword ptr  8
.zaas:000007FF7020BF66
.zaas:000007FF7020BF66 53                                   push    rbx
.zaas:000007FF7020BF67 41 54                                push    r12
.zaas:000007FF7020BF69 41 55                                push    r13
.zaas:000007FF7020BF6B 41 56                                push    r14
.zaas:000007FF7020BF6D 41 57                                push    r15
.zaas:000007FF7020BF6F 50                                   push    rax
.zaas:000007FF7020BF70 51                                   push    rcx
.zaas:000007FF7020BF71 52                                   push    rdx
.zaas:000007FF7020BF72 6A 00                                push    0
.zaas:000007FF7020BF74 6A 00                                push    0
.zaas:000007FF7020BF76 6A 00                                push    0
.zaas:000007FF7020BF78 E8 B3 F0 FF FF                       call    sub_7FF7020B030
.zaas:000007FF7020BF7D 5A                                   pop     rdx
.zaas:000007FF7020BF7E 5A                                   pop     rdx
.zaas:000007FF7020BF7F 5A                                   pop     rdx
.zaas:000007FF7020BF80 5A                                   pop     rdx
.zaas:000007FF7020BF81 59                                   pop     rcx
.zaas:000007FF7020BF82 58                                   pop     rax
.zaas:000007FF7020BF83 41 5F                                pop     r15
.zaas:000007FF7020BF85 41 5E                                pop     r14
.zaas:000007FF7020BF87 41 5D                                pop     r13
.zaas:000007FF7020BF89 41 5C                                pop     r12
.zaas:000007FF7020BF8B 5B                                   pop     rbx
.zaas:000007FF7020BF8C 48 89 5C 24 08                       mov     [rsp+arg_0], rbx
.zaas:000007FF7020BF91 E9 9F 50 FF FF                       jmp     loc_7FF70201035
.zaas:000007FF7020BF91                      sub_7FF7020BF66 endp
已经发给AVE组，让他们跟进了。

wowocock

手动修改的话，可以将sub_7FF7020BF66开始到
.zaas:000007FF7020BF8C 48 89 5C 24 08                       mov     [rsp+arg_0], rbx
.zaas:000007FF7020BF91 E9 9F 50 FF FF                       jmp     loc_7FF70201035
之间的指令全替换为
0x90
nop指令即可。

莒县小哥

biue

腾讯电脑管家 2X

心醉咖啡

360