CHM木马的分析与利用
💡
原文中文，约2200字，阅读约需6分钟。
📝
内容提要
本文分析了CHM文件格式中的木马行为，介绍了其通过WinRAR解压并注册启动项的过程。作者探讨了如何修改CHM文件以创建后门，认为此方法可能绕过杀毒软件的检测。
🎯
关键要点
- CHM文件格式是微软推出的帮助文件系统，支持多种内容和功能。
- 本文分析了CHM文件中的木马行为，介绍了其通过WinRAR解压并注册启动项的过程。
- 木马样本包含混淆的JS脚本代码，关键代码涉及解压和注册启动项的命令。
- CHM木马的执行流程包括解压文件、注册启动项和执行恶意程序。
- 作者探讨了如何修改CHM文件以创建后门，认为此方法可能绕过杀毒软件的检测。
- 该方法的成功可能与CHM文件的特性有关，能够绕过父进程检测。
- 测试结果显示在特定环境下可以成功绕过杀毒软件，但不保证在所有环境中有效。
❓
延伸问答
CHM文件格式是什么？
CHM文件格式是微软推出的帮助文件系统，支持多种内容和功能，如脚本、图片、音频等。
CHM木马是如何工作的？
CHM木马通过解压文件、注册启动项和执行恶意程序来实现其功能。
如何修改CHM文件以创建后门？
可以通过反编译样本CHM、修改说明.htm、将自己的注册表和payload制作成压缩包并编译CHM来创建后门。
CHM木马如何绕过杀毒软件的检测？
CHM木马可能利用其文件特性绕过父进程检测，从而成功绕过杀毒软件的检测。
CHM木马的样本包含什么类型的代码？
CHM木马样本包含混淆的JS脚本代码，关键代码涉及解压和注册启动项的命令。
在什么环境下CHM木马可以成功绕过检测？
测试结果显示在特定的虚拟机环境下，CHM木马可以成功绕过杀毒软件，但不保证在所有环境中有效。
➡️
