8资源分享论坛 - 资源分享,资源共享|www.8ziyuan.com

标题: 搬运分析垃圾的国区adobe flash的弹窗FF新鲜事 [打印本页]

作者: 唐章小小 时间: 2020-10-14 18:40
标题: 搬运分析垃圾的国区adobe flash的弹窗FF新鲜事
原帖地址

https://www.52pojie.cn/thread-897326-1-1.html 作者cdevil

复制代码

有些公司越来越垃圾了，居然捆绑流氓软件，这些天电脑总是弹出FF新鲜事这种垃圾窗口，以为电脑中毒，于是查了一查。不查不知道，一查吓一跳，居然是Adobe公司的flash 一怒之下，上IDA准备patch掉这个垃圾窗口

最简单的做法可以:开始-运行-services.msc找到flash helper service 双击，属性将原来自动改禁用。或者直接将C:\Windows\SysWOW64\Macromed\Flash\FlashHelperService.exe删除，360可以强力删除，好评！
#####################################################################
但是垃圾软件会复活，最有效的方法是什么呢？我们借助windows10的权限管理政策即可。先找到FlashHelperService.exe，右键点击属性。在安全选项页里设置所有的用户对它的任何操作都为拒绝，然后点击应用，然后在常规选项页里点击只读选项！只要后台有进程偷偷地去执行这个程序就会弹出程序无法被访问的警告窗口！

#####################################################################

但是我们要分析这个垃圾软件。
先对而言，windows编程比较简单，一般用户开发使用大量的windows API，我们可以根据API 跟踪程序。我们来分析一下这个程序，这个垃圾程序创建了一个窗口，可能相关API比如:CreateWindow等等。不着急，先看看程序的资源文件，拖入Resource Tuner 恩，发现了万恶的”FF新鲜事”的图标！

好的，我们google一下加载icon的API，LoadIcon OK了，初步分析应该就可以完成了。
我们把程序拖入ida，选择utf-8等待ida将此程序分析完毕。我们打开字符串窗口直接搜索”LoadIcon”

OK，找到之后查看xref，仅有一处调用，跟进在此函数翻到如下内容

再翻翻

复制此链接丢入浏览器

就是你了。观察次函数总是返回1 行，那就帮帮你。找到调用此函数的地方，一顿patch！
bingo！偷天换日成功，把它放回原来的目录 C:\Windows\SysWOW64\Macromed\Flash

PS

1楼 rockingus!

感谢楼主，我这用的是这个办法：在系统服务中停止flash helper service后，把FlashHelperService.exe删除后，在同目录下新建一个空的txt文件，将原文件名新建文本文档.txt 改为 FlashHelperService.exe，问题也能得到解决。

作者: 泪点是你 时间: 2020-10-14 19:41
好东西支持一下

作者: 粢醍 时间: 2020-10-18 07:43
挺不错的，感谢分享

作者: dinworld 时间: 2020-10-21 10:45
好东西支持一下

作者: yclove1234w 时间: 2020-10-22 19:21
感谢楼主分享

作者: 話柠 时间: 2020-10-23 22:37
谢谢楼主终于找到了

作者: 万能宝宝 时间: 2020-10-25 04:51
我来围观支持了

作者: 晚眉妆 时间: 2020-10-27 16:11
不错有用的存起来先

作者: 爱⌒轻易说出口 时间: 2020-11-1 12:12
不错有用的存起来先

作者: 温入骨 时间: 2020-11-2 17:44
谢谢分享太赞了

作者: 我瞎不见光i 时间: 2020-11-5 14:57
谢谢楼主分享

作者: 灵魂—堕落者 时间: 2020-11-7 17:59
感谢分享已收藏

作者: cc209110 时间: 2020-11-8 22:20
好东西支持一下

作者: Zz61031 时间: 2020-11-10 12:28
谢谢分享太赞了

作者: xhao4yu 时间: 2020-11-12 06:28
好东西支持一下

作者: VodkaSkg 时间: 2020-11-13 13:43
感谢楼主分享

作者: dongsuo528 时间: 2020-11-13 15:29
挺不错的，感谢分享

作者: ngzhao 时间: 2020-12-29 11:47
好方法，谢谢分享！

欢迎光临 8资源分享论坛 - 资源分享,资源共享|www.8ziyuan.com (https://www.8ziyuan.com/)