新建 C:/Documents and Settings/Administrator/Local Settings/Temp/IXP003.TMP/123.exe WhN红软基地
WhN红软基地
　　很明显软件本身在运行的同时释放了一个123.exe 而NOD32查杀到的也就是这个文件。WhN红软基地
WhN红软基地
　　C:/Documents and Settings/Administrator/Local Settings/Temp/IXP003.TMP/ WhN红软基地

 WhN红软基地

　　接着我们用peid查下123.exe. 图4WhN红软基地

WhN红软基地

　　EP段.nsp1经常搞免杀的应该知道这是北斗加的壳，我们再看看区段vmp 图5WhN红软基地

WhN红软基地

　　这个一看就是用vmprotect做的免杀。至于123.exe是什么木马咱门就不继续分析了。WhN红软基地

　　接下来分析他生成后的文件是不是一样令人担忧。WhN红软基地
WhN红软基地
　　随便配置一个图6WhN红软基地

WhN红软基地

　　Ollydbg手工给他脱壳esp定律简单 图7WhN红软基地

WhN红软基地

　　脱壳成功后我们在用PEID检测下 图8WhN红软基地

WhN红软基地

来源：红讯频道