警惕非官方【SProtect水印模块】中【度盘Yyds】模块的后门

凌哥

给用户看代码的时候发现他那边火绒一直报毒，编译后老是弹出【msimg32.dll】的木马警告

随之分析了一下客户源码中用的所有模块，逮到了这个，是 模块套模块 后二次编译的ec文件
该模块文件体积比官方原版的【SProtect水印模块】大了很多

我调试后发现：


没去细看读的注册表位置，但可以根据输出的内容判断是【读取常用exe的目录】然后写出【msimg32.dll】做劫持注入

有读取易语言安装目录的操作【HKEY_CURRENT_USER\Software\FlySky\E\Install】，不排除二次感染易语言支持库的可能：

https://s.threatbook.com/report/ ... 51a180af8a2ffc545a9

文件字符串中找到了【QQExternal.exe】的信息，可能有针对QQ注入获取key的行为。

其他特征有点像shellcode注入器

最抽象的是客户这个源码还是花钱定制的，别人还给他挂后门...

模块样本以及反编译后的源文件：
小白不要直接运行，以免中毒

SProtect水印模块.zip (479.72 KB, 下载次数: 9)

2025-5-15 11:57 上传

点击文件名下载附件 模块.e (748.72 KB, 下载次数: 4)

2025-5-15 11:58 上传

点击文件名下载附件

白云飘飘

感谢分享，很给力！~

zhangwen97

学习学习

深爱者

学习一下

LIP253

学习一下

Wo4mt

Wo4mt 发表于 2025-5-15 19:51
SProtect水印模块.ec 最后一次更新时间为2022年5月9日 17:36:30
文件校验信息如下:
文件: C:%users\admin\D ...

补充, 还有一份2023年的水印模块
文件: C:\Users\admin\Desktop\S_v429\S_v429\sp_加密端\SDK\E\SProtect水印模块.ec
大小: 358452 字节
修改时间: 2023年12月22日, 13:55:20
MD5: 646E5FEC0922E43D82E1526326D8210C
SHA1: 28CE8E4647D4F33D592142F2AEC3A7D0CF54AA3D
CRC32: B52F59F4

王耿

看看      

Wo4mt

SProtect水印模块.ec 更新时间为2022年5月9日 17:36:30
文件校验信息如下:
文件: C:\Users\admin\Desktop\A_v429\sp_加密端\SDK\E\SProtect水印模块.ec
大小: 16912 字节
修改时间: 2022年5月9日, 17:36:30
MD5: 10669050FF1845B06F080A6F36BFBE55
SHA1: AEFA7AA4F0631B4DED350A6B54B2FE2C79C031EB
CRC32: CE2A41D4

SProtect水印模块.ec 更新时间为2023年12月22日 13:55:20文件校验信息如下:
文件: C:\Users\admin\Desktop\S_v429\S_v429\sp_加密端\SDK\E\SProtect水印模块.ec
大小: 358452 字节
修改时间: 2023年12月22日, 13:55:20
MD5: 646E5FEC0922E43D82E1526326D8210C
SHA1: 28CE8E4647D4F33D592142F2AEC3A7D0CF54AA3D
CRC32: B52F59F4


请大家使用时注意核对校验信息, 以免被不法分子出招得逞!
另外建议修改帖子标题, 标题中的 "第三方" 易引发歧义, 用 "非SProtect官方" 更为贴切.

小bing饼干

看看               

734115266

看看是啥模块

青竹112

好家伙！！！！！！！！