Win7 64位旗舰版下载 系统 工具 主题

论坛汇聚Win7系统下载 激活工具 主题

Win7系统下载|主题|优化|桌面|激活|小白必读

Win8.1 系统下载 中文版 平板电脑 主题

Win8.1 平板电脑 中文版 系统下载尽在Win8论坛

Windows8.1下载|主题|激活|新手宝典|必备软件

Win10 正式版 系统 下载 主题 平板

重定义Modern UI,打造完美Windows全新体验

Windows10下载|安装|新手宝典|必备软件

远景论坛 - 微软极客社区 › 论坛 › 全新 Windows 论坛 - 微软全新一代操作系统 › Windows 10 论坛 > 对某KMS文件的分析

12 下一页

返回列表发表新帖

查看: 6523|回复: 27

[技术] 对某KMS文件的分析 [复制链接]
电梯直达
复制

qq296015668

我是小白

Rank: 7 Rank: 7 Rank: 7

UID: 3244035
帖子: 1015
PB币: 27
贡献: 0
技术: 2
活跃: 1728

楼主

发表于 2015-12-29 16:41:32 IP属地湖北 |只看该作者 |倒序浏览

本帖最后由 qq296015668 于 2015-12-30 13:37 编辑

原文连接：https://bbs.pcbeta.com/viewthread-1662873-1-1.html
百度盘： http://pan.baidu.com/share/home?uk=3240351574

基本信息

文件名称：	KMS10.exe
MD5：	745739807ad9356a8e4ac5651258a0ee
文件类型：	EXE
上传时间：	2015-12-29 16:10:14
出品公司：	N/A
版本：	1.0.0.0---1.0.0.0
壳或编译器信息：	N/A
TAV扫描结果：	Suspicious.VMPPacker.Gen

进程行为

行为描述：	创建本地线程
详情信息：	N/A
行为描述：	进程退出
详情信息：	N/A
行为描述：	枚举进程
详情信息：	N/A

文件行为

行为描述：

查找文件

详情信息：

FileName = C:\DOCUME~1\ADMINI~1\LOCALS~1\%temp%\996E.zh-CN

FileName = C:\DOCUME~1\ADMINI~1\LOCALS~1\%temp%\996E.zh-Hans

FileName = C:\DOCUME~1\ADMINI~1\LOCALS~1\%temp%\996E.zh

FileName = C:\DOCUME~1\ADMINI~1\LOCALS~1\%temp%\996E.CHS

FileName = C:\DOCUME~1\ADMINI~1\LOCALS~1\%temp%\996E.CH

其他行为

行为描述：	创建互斥体
详情信息：	CTF.LBES.MutexDefaultS-* CTF.Compart.MutexDefaultS-* CTF.Asm.MutexDefaultS-* CTF.Layouts.MutexDefaultS-* CTF.TMD.MutexDefaultS-* CTF.TimListCache.FMPDefaultS-MUTEX.DefaultS- MSCTF.Shared.MUTEX.ELH MSCTF.Shared.MUTEX.AEF
行为描述：	创建事件对象
详情信息：	EventName = MSCTF.SendReceive.Event.AEF.IC EventName = MSCTF.SendReceiveConection.Event.AEF.IC
行为描述：	查找指定窗口
详情信息：	NtUserFindWindowEx: [Class,Window] = [Shell_TrayWnd,] NtUserFindWindowEx: [Class,Window] = [CicLoaderWndClass,]
行为描述：	枚举窗口
详情信息：	N/A
行为描述：	窗口信息
详情信息：	Pid = 1476, Hwnd=0x202b4, Text = 系统信息, ClassName = TGroupBox. Pid = 1476, Hwnd=0x202b2, Text = KMS模式, ClassName = TComboBox. Pid = 1476, Hwnd=0x302bc, Text = 一键永久激活Windows和Office, ClassName = TButton. Pid = 1476, Hwnd=0x202cc, Text = KMS10, ClassName = TArmStrongForm.
行为描述：	隐藏指定窗口
详情信息：	[Window,Class] = [,ComboLBox]

运行该文件后，文件会自动拷贝自身到 C:\windows\KMS10\KMS10.exe
并在计划任务里面加入开机运行和定时运行

并没有说完，保存成草稿的时候不知道怎么回事，莫名的就审核去了！

接着在C:\Users\Administrator（你的用户名）\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch 下面查看你的浏览器快捷方式 -右键-属性均加入了 http://hao.qquu8.com 这个页面

在 Quick Launch 这个目录下面还有一个隐藏文件夹User Pinned 打开，里面两个文件夹、点开TaskBar 这个，把里面的浏览器快捷属性都改一下

然而我还是发现有一点小问题。。。我的浏览器不能固定到任务栏了。其他的问题还是继续观察中，准备装个虚拟机完全的记录下文件的执行过程，到时候会补上！

7.png (26.96 KB, 下载次数: 1)