前天笔者微信群里有个朋友发了一段聊天记录，说是有一个ShellCodeLoader工具好像是CS木马，如下：

笔者本来想从GitHub下载样本研究一下，发现链接已经失效了，于是找群里的朋友要了样本，就给大家简单分析一下，对一些好玩的样本，笔者一直本着“不放过”的研究态度，就当好玩吧，其实做安全也就是好玩。

拿到样本之后，发现包含两个程序：LoaderMaker.exe和ShellcodeLoader.exe，如下所示：

样本的编译时间为2022年10月8日，如下所示：

运行LoaderMaker.exe之后，提示输入相关的参数，生成ShellCodeLoader程序，如下所示：

笔者使用msfvenom工具生成一个弹计算机的shellcode.bin文件，然后通过参数，再次执行LoaderMaker.exe程序，如下所示：

这个工具给笔者生成了一个Loader.exe的加载程序，运行生成的Loader.exe程序，看看会不会弹计算机，果然弹出了计算机，如下所示：

我们先来看看这个工具是如何帮助笔者生成这个Loader.exe程序的吧。

1.打印命令行提示符，进程提权操作，如下所示：

2.读取shellcode.bin的数据到内存中，如下所示：

3.对shellcode.bin的数据进行加密处理，如下所示：

4.读取同目录下的ShellcodeLoader.exe的数据到内存中，如下所示：

5.在内存中拼接数据，然后生成Loader.exe程序，如下所示：

6.将此前拼接的内存数据，写入到生成的Loader.exe程序，如下所示：

到此Loader.exe程序就生成完成了，好像看起来感觉没啥问题呀，但是仔细分析就会发现问题，它的打印函数功能好像不简单哦？我们来看它里面深藏的一段代码逻辑，如下所示：

一个全局变量，判断它是不是等于6，如果等于6就会执行下面的恶意函数，如果不等于6，就执行加1的功能，其实就是在打印出6个字符串之后，就会执行隐藏的恶意函数操作，也就是聊天记录中说的“只要一生成，就会注入进程”，原来如此，正好程序在生成之前会执行六次打印操作，这操作有点“意思”！下面我们来重点看看这个恶意函数的功能吧。

1.最后一次打印操作之后，全局变量等于6，不会执行跳转操作，进入恶意函数，如下所示：

2.进入之后，如下所示：

3.遍历进程，查找explorer.exe进程，如下所示：

4.通过GetNativeSystemInfo或GetSystemInfo获取操作系统版本，判断是否为64位的操作系统，如果不是64位操作系统，则退出，如下所示：

退出函数的代码，如下所示：

5.读取程序中的数据，进行解密，如下所示：

6.解密之后的数据就是一段恶意ShellCode代码，如下所示：

7.将上面生成的ShellCode恶意代码注入到explorer.exe进程中，如下所示：

8.注入之后explorer.exe进程，如下所示：

ShellCode代码执行之后，会连接远程服务器进行后面的操作，远程服务器域名为：www2.jquery.ink，到此该样本就分析完了，笔者只是好奇分析了这个样本，至于其他相关威胁情报信息读者自行参考研究吧，不作过多分析。