一个 x64 样本的资源里，藏着 PowerShell 下载器和一段 32 位 shellcode
新样本 又是资源解密类型的样本，看看ida 哦？64位的样本，罕见。 根据提示，寻找加密内容 84是最大的，长度为6AB。 断一下loadResource，检查长度为6AB的资源读入。由于手比较快，没有记录下来。 ida跟随，得到程序包装的loadRes+resSize+malloc+memcpy一套组合拳 获取v5，然后断v5的内存。 读写命中，ida跟随。 这个子函数，有点像解密函数？ 啊？就结束了？有点突然啊 不急着惊喜，先检查一下解密后输出的是啥，确定一下先 本来想着先跳到解密后的内容，再查看输出到哪里的，结果是原地输出。 ...