第五十二章、木马溯源

请关闭浏览器的阅读/畅读/小说模式并且关闭广告屏蔽过滤功能，避免出现内容无法显示或者段落错乱。

现在的目的不是杀掉病毒，而是想通过病毒逆向溯源，下毒者目的是盗取各种网络账号换取金钱，利用木马病毒捕获游戏、聊天软件界面输入的账号密码发送到指定的url，也就是说，木马病毒中一定存有url信息。

“x”问沈天成怎么对这个病毒感兴趣，出于保密原因，沈天成打了个哈哈，说是好奇心作祟。其实“x”已经猜到了一些原因，但没说破，只是说需要帮忙说一声，沈天成知道他们最近非常忙，就没有多聊，答应下来就结束了对话。

测试病毒有很多种方式，沙盒测试和虚拟机测试，沙盒测试不会对系统产生任何影响，也不会修改硬盘数据，当沙盒关闭后，所有操作都将回复如初。测试一些未知程序是很方便的，但是也存在一些兼容性的问题，有些软件无法成功运行。

虚拟机可以创建一个真正完整的操作系统，完全独立于系统之外，兼容性很强，不需要担心程序在系统中不能运行，虚拟机的性能强大，可以自定义配置硬件，包括cpu、内存、虚拟网络构建功能，但是创建虚拟机对电脑的配置要求很高，眼下这台电脑勉强带的动，速度肯定很慢，斟酌了一会，沈天成还是选择了创建虚拟机。

在电脑上创建了虚拟机，下载了反编译软件，将u盘插入，双击打开u盘，od加载样本，“机器猫”病毒瞬间被激活，激活后释放底层硬盘驱动，继而访问指定的网址，开始自动下载，不到十分钟，虚拟机里被下载了二十多个木马病毒与恶意程序，硬盘吱吱嘎嘎响，每点一下鼠标都要停顿十几秒，这时候还不能重启，因为正是“抓马”的关键时刻。

选定一个最显眼的木马病毒，打开idapro反汇编软件进行安全分析。

电脑速度太慢，屏幕卡住了，只能慢慢等。

手机忽然响了，是个座机号码。

沈天成按了下接听键，就听到师傅的声音。

“天成，跟你说个事。”

“什么事？师傅。”

“昨天在车上我跟你说的那些，其实是一个

网络入侵的案子，我被抽调就是进的这个专案组，因为涉密当时我没办法详细说，现在马局同意了，我必须把真实情况告诉你，是车管所的网络被入侵，市局网络安全中心的技术骨干已经进行了几天的现场勘查，没找到任何痕迹，你有没有把握试试？”

“可以试试。”沈天成毫不犹豫地说道：“但是我这边还没搞好呢。”

“你别这么快回答，你考虑清楚，如果搞不定会很难堪，你还在实习期，要给领导留个好印象。”

“师傅，我明白你意思，对我来说没什么难堪的，我一个实习民警不在乎那些，我就算搞不定还能给我降成副民警吗？”

这句话把邵俊给逗笑了，他也没想到徒弟心态这么好，想想昨晚徒弟说的跟三轮车较劲，的确够倒霉的。

“你那边要多久能搞好？”

“顺利的话几个小时，不顺利的话不好说了。”

“专案组现在是焦头烂额，你是临危受命，不管顺不顺利，都先顾这边，这样吧，我先给马局汇报，你等通知吧。”

“好。”

挂断电话，沈天成盯着屏幕自嘲的笑了笑，想多了太累，多尴尬的处境都经历了，还有什么好顾虑的，他现在把自己当成打不死的小强，继续投入到和病毒作斗争中。

木马病毒内部的信息以汇编代码的形式展开，提取信息中的字符串，比对之后找到了可疑线索，一个域名，应该是用来接收窃取到信息的接口。

通过whois查询该域名的相关信息，得到了一个姓名和qq邮箱地址，搜索qq好友显示不在线，利用搜索引擎查询qq号，发现此人曾在本地论坛发过招聘客服的广告……

不知不觉几个小时过去了，直到曹文斌敲门来送饭卡，沈天成才缓过神，早饭吃得少，已经一点多了，还真是有些饿了。

跟曹文斌一起到食堂打了两份饭，这个点食堂人不多，两人找了个角落坐了下来。