1、網絡特征

ant.trenz.pl ilo.brenz.pl

2、文件特征

通過對文件的定位，使用PEID查看文件區段，如果條件符合增加了7個隨機字符區段的文件，則判定為受感染文件。

3、受感染特征

參考：

【病毒分析】Virut.ce-感染型病毒分析報告

http://www.cnblogs.com/17bdw/p/7776877.html

4、證明正常進程空間里含有惡意代碼

把受感染進程的內存dump出來，通過微軟工具String將內存里的字符串打印出來，搜索IOC域名字符串就可以看到網絡特征里的域名了。注：圖中604這個PID號對應受感染后的Winlogon進程。

嘗試把Winlogon的DLL全都dump出來，依次用Strings打印出來。就可以定位到哪個DLL里有被注入的ShellCode了

轉載于:https://www.cnblogs.com/17bdw/p/9011964.html

總結

以上是生活随笔為你收集整理的Virut样本取证特征的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。