Malware Analyse 3 --- bdreninit dll hijacking

恶意程序样本：

利用bitdefender组件bdreinit.exe的DLL劫持

IDA

导出函数：

aPxbGs863函数跳转到GetMessageTime，没有意义

分析DllMain，发现只是将bdreinit.exe进程基址+0x2775偏移处的6个字节修改为

push offset sub_10001500
ret

动态调试

修改的代码刚好位于LoadLibraryW(L”log.dll”)之后

修改后：

这样，DllMain执行完就会跳转到sub_10001500里面去了