本文将介绍恶意软件的行动流程、运行和网络功能，其中包括分析恶意软件如何运行以及如何与 C2 连接和通信，还有恶意软件的一些有趣的调用，比如调用和执行 netsh 命令来改变本地防火墙的规则。
最新的 QuantLoader 版本是服务钓鱼活动，该活动开始的时候以钓鱼邮件来向用户传播 JS 下载器。该恶意软件使用的 SMB 协议而不是常用的 HTTP 协议，可能的原因是为绕过一些代理和防火墙的检测。
分析
首先，该活动的流图为：
Phish > JS downloader > QuantLoader ( > C2 ) > Payload ( Backdoor ) > C2
其中 JS 下载器的代码都是被混淆过的：
打印出 main 函数的输出，及获得了第二阶段的 URL:
这是对 JS 下载器的快速分析来获取 URL。
QuantLoader 可执行文件
然后分析可执行文件的执行流：
汇编码：
然后，会在执行前将自己拷贝到上面的位置：
设定正确的权限：
用户权限被设定为可读 read。
栈：
下面看一下进程执行和驻留机制。
该进程会在将自己拷贝到不同的位置之后衍生出一个新的进程。不要将该进程与 Windows 的桌面窗口管理器进程 dwm.exe 相混淆。驻留就这样开始了。
下面是生成的新进程，以及如何生成新进程。
首先，创建目录：
目录创建完成后，调用 CreateFile 来创建空文件。
现在这是一个空的文件，大小是 0 字节，之后会被拷贝。
拷贝文件：
该文件被拷贝后，大小变成了 46080 字节：
该进程会从这个位置启动。
可以随意修改：
进程成功启动后，下一个比较重要的步骤就是调用 WININET dll 来建立与 admin 的连接。
执行后，会尝试与 admin 服务器建立连接，连接如下：
TCP localhost:49690 49.51.228.205:http ESTABLISHED
这就是加载到栈内的主机。
下面是如何做栈内打开：
第一步是通过调用 LoadLibrary 加载 WININET DLL：
下面是一些我们随后会进行分析的函数：
在栈内可以看到上面函数的执行：
下面看一下 WINHTTP.dll：
下面是被调用的函数：
上图中所有的函数都是 WinHttp。
下面是一些有趣的函数：
WinHttpCreateUrl
WinHttpCreateUrl 可以将 host 和路径结合起来组成完整的 URL。
调用 jsproxy.dll 组成的完成的 URL,
最后，是内存复制，也就是 URI 如何被加载到内存中。
下图是栈的截屏，可以看到 URL 被加载到栈内，然后被调用。
可以看到内存中 URL 已经成功加载了，可以随时使用 URLDownloadToFile 调用。
上图中的 ASCII 码是恶意软件向防火墙中添加规则。该规则是确保恶意软件向外的请求能够通过。
下面是栈的视图：
下面是 CPU 视图：
使用的命令是 netsh。
下面是进程镜像：
下面是创建并成功应用的防火墙规则：
其他的调用有：
一旦与 admin C2 服务器建立连接，恶意活动的管理员将可以拿到 payload，而且 payload 的形式是多种多样的。在本活动中，payload 的形式是后门。可以很容易从内存中提取下载 payload 的 URL。
结论
QuantLoader 的代码与其他普通的恶意软件有所不同，比如操作本地防火墙规则的代码等。恶意活动的 admin 可以改变最后的 payload 并用同样的下载器去运营不同的活动。
QuantLoader 最初是被告为勒索软件，可能是因为内存字符串中含有一个 Locky 相关的参考，看起来像是从其他活动的变种。
Z:varwww4testfilescryptorsadminLoc2.exe
另外一个比较有意思的就是使用的是 SMB 协议而不是常见的 HTTP 协议。
| 相关下载 |
原标题：深度操作系统官方壁纸分享 IT之家 12月24日消息 Deepin深度操作系统是由武汉深之度科技有限公司开发的Linux发行版，最近一段时间以来受到了详情>>
近日好莱坞记者发表了一篇针对京阿尼事件的深度采访，摘取部分重点内容，一起来看看吧！ 1、事发当天社长前往现场，因为现场媒体记者太多，车是停在近半英里(约八百米)以外详情>>
S10季前赛版本更新了，根据更新的内容总体来看的话，坦克的地位有了质的提升，地图节奏与资源争夺有所提速，让moba竞技变得激烈;小龙和符文带来的随机性改变又给游戏丰富了详情>>
布武三国手游中很多小伙伴不知道布武三国好不好玩，也不知道布武三国的玩法是什么，今天小编就带着大家了解一下布武三国游戏深度评测;玩了有两三天，基本的游戏功能玩法都掌握的详情>>
原标题：那些与综N代深度捆绑的金主们，都图啥？ 文|阿木 “抖音越玩越嗨，办案脑洞大开。” 这一句关于抖音的广告语出自《明星大侦探》，凭借着抖音连续详情>>
原标题：中兴、深度等合推的UOS统一操作系统界面曝光 IT之家11月17日消息 IT之家此前报道国内UOS统一操作系统官网已经上线，并发布了UOS对外测试和开详情>>
原标题：从“功能”到“智慧”，深度解析一体化管理的HRP系统总体设计思路 本文为我们介绍了什么是智慧医院一体化HRP系统，它的发展变化、设计思路以详情>>
原标题：思创医惠：与百度在AI医疗创新应用项目领域深度合作 证券时报e公司讯，思创医惠(300078)10月29日晚间公告，近日，医惠科技与百度签署《深度合作协详情>>
原标题：深度 | Netflix大屏交互设计分析系列（5）：构建个性化页面 前言：本文来源于微信公众号“流媒体网”，为流媒体网版权所有，转载文章请注明来源。 本文详情>>
原标题：深度 | Netflix大屏交互设计分析系列（3）：面向内容的交互设计 前言：本文来源于微信公众号“流媒体网”，为流媒体网版权所有，转载文章请注明来源。 详情>>
一条S赛失利的微博，短短几分钟就留言上万，十几万的网友回复，60多万的点赞数，可以说在粉丝运营这一块RNG在LPL乃至在全球的LOL俱乐部中都是独一档的！ 实事求是的说，去年的详情>>
原标题：7 Papers | 李飞飞新论文；深度学习代码搜索综述；Adobe用GAN生成动画 机器之心整理 参与：一鸣、杜伟 本周有李飞飞、朱玉可等的图像因果推理详情>>
原标题：《斩服少女：异布》IGN 5.3分 战斗缺乏深度，剧情平淡 漫改动作游戏《斩服少女：异布》已正式发售，外媒IGN为该作打出了5.3分的评价。IGN的评测详情>>
原标题：Shy哥为什么越来越混？深度分析原因，或者说更加团队了 谁是LPL第一上单？如果在S8之间提起这个问题，也许会有很多争议，但S8上Theshy的精彩发挥打破了详情>>
原标题：你知道什么是社畜吗？这款游戏可以让你深度体验一下社畜的生活 * 本游戏为 iOS & Android 双平台 * Game Worker Pochi by CELAD INC. 上半年详情>>
原标题：深度分析多队S9出线难易程度，EDG基本无望，RNG命悬一线 结合春季赛和夏季赛前三周的表现，系统分析一下多队S9出线难度指数！因为春季赛已经结束了，所以我们也能详情>>
或许就连 Respawn（重生工作室）自己也没有想到《Apex英雄》会火成这个德行，仅用了一天时间玩家人数就突破250万，如今更是突破了2500万，甚至在Twitch上把堡垒之夜拉下了王座。详情>>
原标题：红魔3电竞游戏手机深度体验：炫酷套件试玩/深度性能测试 在本站的评测中，相信大家对红魔3这款全新的游戏利器有了一个初步的了解。而在将近一个月的详情>>
“我叫MT2wiki”是我叫MT2爱好者联盟的wiki主基地，这里是我叫MT2攻略和我叫MT2资源的聚集地，爱好者们正在集结！全英雄图鉴、全装备图鉴、阵容搭配、攻略心得……你心动了吗？畅谈详情>>
V社自己开发的《DOTA2》世界观卡牌游戏《Artifact》表现欠佳，部分原因也是被社区产品《刀塔自走棋》抢走了风头。这款游戏是如此的火爆，直接导致了《DOTA2》在线人数的回详情>>
原标题：OPPO Reno深度体验评测：10倍混合光变拍照令人印象深刻 OPPO Reno算是OPPO开年之后的第一款旗舰产品， 详情>>
3月18日晚，黑鲨游戏手机2正式发布，现场尖叫声不断，真是堪称游戏玩家的一场盛宴。 在发布会 详情>>
备受手游玩家青睐的轻度RPG游戏《永恒之井》在19号再添新服，伴随此次新服的开启，游戏也进行了内容大更新和优化，包含排行榜，新玩法、及各种活动等近多项内容。《永恒之井》新服人气再次爆棚，除了省流量详情>>
《三国杀传奇》是由国民级桌游三国杀首次独家正版授权，三国杀原研发团队历时2年倾力打造而成。游戏玩法简单但富有深度，配合原汁原味的三国杀武将技能与配音，跌宕起伏的白金级剧情，让玩家重新找回当年三国杀详情>>
游戏初体验首先非常抱歉，本人并没有玩过《梦幻模拟战》的早期单机版作品，但是确实十分热爱《火焰纹章》系列的大作，曾经也玩了不少。这种走方格的战略游戏，极致烧脑的感觉，通关的成就感，以及游戏主线剧情故事背详情>>
如果你懂得动脑并有敏锐的洞察力你将会战无不胜,《这是我的战争》就是这么一款游戏。IGN给出了8.4分。 详情>>
小编跟大家分享u深度装win8系统教程,详细的跟大家分享u深度u盘启动盘制作工具怎么装win8系统哦! Windows 8.1软件版本:官方简体中文预览版系统工具立即查看 第一步... 详情>>
很多小伙伴在玩只狼影逝二度的时候不明白枭剧情，今天Game234游戏门户网小编给大家带来只狼影逝二详情>>
游戏类型：装机刷机文件大小：480M软件语言：简体中文运营：软件授权：免费版应用平台：WinXP/Vista/Win7/Win8/Win10安全认证：u深度u盘启动盘制作工具机版实现真正意义上&详情>>
游戏类型：系统辅助文件大小：541.87MB软件语言：简体中文运营：未知软件授权：免费版应用平台：WinXP/Vista/Win7/Win8/Win8.1/Win10安全认证：u深度是一款专业的详情>>
《阴阳师》怎么深度清理御魂?大家一起来看看《阴阳师》御魂深度清理指南。...(三)6号位攻击加成:同4号位防御加成:命中X抵抗X暴击X速度X →全选弃置... 详情>>
在《笑傲江湖3D手游》中，唐门的主角原为蓝凤凰之妹，从小就跟蓝凤凰不和，形成相亲相杀的关系。自加入唐门后受命于唐大娘，意图以葵花宝典挑起武林争端，趁势妄图让唐门成为武林第三大门派，甚至称详情>>
近日，EDG战队的灵魂人物厂长回归LPL赛场引起了不少LPL粉丝们的关注。毕竟，作为LPL的0001号选手，作为曾经的很多LPL粉丝青春的回忆，厂长也是由于年龄的缘故，现在的比赛可以说是看详情>>
