大多数恶意代码为了隐藏自己的行踪都会附加到某个进程中，在这个进程内申请一块内存区域来存放它的代码，毕竟隐藏的再好，代码也要有的，今天检测的特征是向YY语音里插入了一段自己的代码（创建了新的线程），而这个新的线程不在原有的模块内，所以思路就是遍历YY.exe这个进程中的所有线程，如果这个线程没有对应的模块，那么就说明这个线程是可疑的。

准备工作，定义一些核心结构体变量。

#pragma region 依赖
typedef enum _THREADINFOCLASS{
    ThreadBasicInformation,
    ThreadTimes,
    ThreadPriority,
    ThreadBasePriority,
    ThreadAffinityMask,
    ThreadImpersonationToken,
    ThreadDescriptorTableEntry,
    ThreadEnableAlignmentFaultFixup,
    ThreadEventPair_Reusable,
    ThreadQuerySetWin32StartAddress,
    ThreadZeroTlsCell,
    ThreadPerformanceCount,
    ThreadAmILastThread,
    ThreadIdealProcessor,
    ThreadPriorityBoost,
    ThreadSetTlsArrayAddress,
    ThreadIsIoPending,
    ThreadHideFromDebugger,
    ThreadBreakOnTermination,
    MaxThreadInfoClass
}THREADINFOCLASS;
typedef struct _CLIENT_ID{
    HANDLE UniqueProcess;
    HANDLE UniqueThread;
}CLIENT_ID;
typedef struct _THREAD_BASIC_INFORMATION{
    LONG ExitStatus;
    PVOID TebBaseAddress;
    CLIENT_ID ClientId;
    LONG AffinityMask;
    LONG Priority;
    LONG BasePriority;
}THREAD_BASIC_INFORMATION,*PTHREAD_BASIC_INFORMATION;
extern "C" LONG (__stdcall *ZwQueryInformationThread)(
    IN HANDLE ThreadHandle,
    IN THREADINFOCLASS ThreadInformationClass,
    OUT PVOID ThreadInformation,
    IN ULONG ThreadInformationLength,
    OUT PULONG ReturnLength OPTIONAL
    ) = NULL;
#pragma endregion

功能实现核心代码部分如下。

	HANDLE hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);	// 进程快照句柄
	PROCESSENTRY32 process = {sizeof(PROCESSENTRY32)};						// 进程快照信息

	// 遍历进程，找到 YY.exe
	while (Process32Next(hProcessSnap,&process)){
		string s_szExeFile = process.szExeFile; // char* 转 string
		if(s_szExeFile == "YY.exe"){
			HANDLE hThreadSnap = INVALID_HANDLE_VALUE;			// 线程快照句柄 
			THREADENTRY32 te32;									// 线程快照信息

			// 创建线程快照
			hThreadSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
			if (hThreadSnap == INVALID_HANDLE_VALUE){cout << "创建线程快照失败" << endl;}

			// 为快照分派内存空间
			te32.dwSize = sizeof(THREADENTRY32);

			// 获取第一个线程的信息
			if (!Thread32First(hThreadSnap, &te32)){cout << "线程信息获取失败" << endl;}

			// 遍历线程
			while (Thread32Next(hThreadSnap, &te32)){
				// 线程属于 YY.exe
				if(te32.th32OwnerProcessID == process.th32ProcessID){
					// 打开线程
					HANDLE hThread = ::OpenThread (
						THREAD_ALL_ACCESS,		// 访问权限，THREAD_ALL_ACCESS ：所有权限
						FALSE,					// 由此线程创建的进程不继承线程的句柄
						te32.th32ThreadID		// 线程 ID
						);
					if(hThread == NULL){cout << "线程打开失败" << endl;}

					// 将区域设置设置为从操作系统获取的ANSI代码页
					setlocale(LC_ALL,".ACP");

					// 获取 ntdll.dll 的模块句柄
					HINSTANCE hNTDLL = ::GetModuleHandle("ntdll");	

					// 从 ntdll.dll 中取出 ZwQueryInformationThread
					(FARPROC&)ZwQueryInformationThread  = ::GetProcAddress(hNTDLL,"ZwQueryInformationThread");
					
					// 获取线程入口地址
					PVOID startaddr;						// 用来接收线程入口地址
					ZwQueryInformationThread(
						hThread,							// 线程句柄
						ThreadQuerySetWin32StartAddress,	// 线程信息类型，ThreadQuerySetWin32StartAddress ：线程入口地址
						&startaddr,							// 指向缓冲区的指针
						sizeof(startaddr),					// 缓冲区的大小
						NULL								
						);

					// 获取线程所在模块
					THREAD_BASIC_INFORMATION tbi;			// _THREAD_BASIC_INFORMATION 结构体对象
					TCHAR modname[MAX_PATH];				// 用来接收模块全路径
					ZwQueryInformationThread(
						hThread,							// 线程句柄
						ThreadBasicInformation,				// 线程信息类型，ThreadBasicInformation ：线程基本信息
						&tbi,								// 指向缓冲区的指针
						sizeof(tbi),						// 缓冲区的大小
						NULL
						);

					// 检查入口地址是否位于某模块中
					GetMappedFileName(
						::OpenProcess(						// 进程句柄
							PROCESS_ALL_ACCESS,									// 访问权限，THREAD_ALL_ACCESS ：所有权限
							FALSE,												// 由此线程创建的进程不继承线程的句柄
							(DWORD)tbi.ClientId.UniqueProcess					// 唯一进程 ID
							), 
						startaddr,							// 要检查的地址
						modname,							// 用来接收模块名的指针
						MAX_PATH							// 缓冲区大小
						);
					
					// 判断线程是否在模块中
					if(modname[0] == '?'){cout << "线程不在模块中" << endl;}
				}
			}			
		}
	}