木马加载器 instdoload.1.3.13 的静态逆向、动态行为与 BYOVD 驱动滥用分析
摘要本文以样本 instdoload.1.3.13.exe 及其释放文件 ranschserv.jpg 为研究对象，采用静态逆向、沙箱核验、主机行为观察与驱动能力分析相结合的方法，梳理其伪装、释放、持久化与内核驱动滥用链条。静态分析表明，instdoload.1.3.13.exe 伪装为日本小工具 INASOFT NumLockLock，版本信息与文件名不一致，文件未签名，体积约 38.8 MB，
1