Agent-Tesla-APC-Injection-Token-Manipulation-Registry-Persistence-Analysis

1. Native API 与 APC 注入 x64dbg 内存转储显示，Agent Tesla 使用 Native API（NT API） 调用进行底层操作，包括 APC（异步过程调用）注入 。 观察到的关键函数： NtQueueApcThread – 通过 APC 将代码注入目标线程。 NtReadVirtualMemory – 读取其他进程的内存。 NtQuerySystemInformation – 收集系统信息。 NtCreateThreadEx （可能存在）– 创建线程用于执行。 为什么这很重要： 规避检测： Native API 可绕过用户态钩子。 注入： APC...

-Remcos-RAT-Fileless-svchost-Injection-Obfuscated-Payload-Analysis-

1. Remcos – 通过原生 API 调用实现 svchost 注入 以下 Binary Ninja 代码片段揭示了 Remcos 将其载荷注入 svchost.exe 的核心注入机制。 代码功能说明： CreateProcessW 使用 CREATESUSPENDED 标志启动一个处于挂起状态的 svchost 进程。 VirtualAlloc 在目标进程内使用 MEMCOMMIT 和 PAGEREADWRITE 标志分配内存，允许将载荷直接写入进程内存。 WriteProcessMemory 将载荷写入挂起的 svchost 进程的已分配内存区域。...