0x4010
0x4010

只会看监控的实习生

2026年8月9日%2017:38
广东

在小说阅读器读本章

去阅读

我一哥们刚换的新电脑准备爽玩3A大作，然而在安装steam的时候不知道从哪里下载到一个看似人畜无害的steam，运行之后没反应，这才发现不对劲给我拿过来看一下。
样本分析发现，是一份被极其隐蔽patch过的9.69.92.62版本steam启动器，其并未使用常见的方式在入口点或%20TLS%20回调处直接劫持控制流，而是将恶意代码插入到%20steam%20客户端自带的%20protobuf%20注册路径中。程序启动后，MSVC%20CRT会在 WinMain 前执行全局初始化函数表，通过 clientmetrics.proto 的%20file-registration%20初始化链触发恶意代码。之后动态解析API，下载bmp将文件写入内存，经自定义解密逻辑原地变换后，最终被作为 gdi32!EnumObjects 的回调函数执行，可以说手法非常的隐蔽。

vt和微步分析情况:

样本主要流程图如下：

一、样本分析

char *__usercall%20start@<eax>(char *a1@<esi>)
{
 %20__security_init_cookie();
return __scrt_common_main_seh(a1);
}