MM样本的分析：

　　是用的北斗的壳，但无法用通用的脱壳机，但可单步跟踪。手动的也比较简单，也不多说了有要研究的朋友可以PM

　　脱壳后，大概的流程可以知道：

　　1. 历遍了系统进程和注册表结束以下的杀软,IFEO劫持多个杀软：

　　13141D30 68 CC501413 push 131450CC ; ASCII "360Safe.exe"

　　13141D35 E8 56FEFFFF call 13141B90

　　13141D3A 68 C0501413 push 131450C0 ; ASCII "360tray.exe"

　　13141D3F E8 4CFEFFFF call 13141B90

　　13141D44 68 B4501413 push 131450B4 ; ASCII "360rpt.EXE"

　　13141D49 E8 42FEFFFF call 13141B90

　　13141D4E 68 A8501413 push 131450A8 ; ASCII "Runiep.exe"

　　13141D53 E8 38FEFFFF call 13141B90

　　13141D58 68 A0501413 push 131450A0 ; ASCII "RAv.exe"

　　13141D5D E8 2EFEFFFF call 13141B90

　　13141D62 68 94501413 push 13145094 ; ASCII "RSTray.exe"

　　13141D67 E8 24FEFFFF call 13141B90

　　13141D6C 68 88501413 push 13145088 ; ASCII "CCenter.EXE"

　　13141D71 E8 1AFEFFFF call 13141B90

　　13141D76 68 7C501413 push 1314507C ; ASCII "RAVMON.EXE"

　　13141D7B E8 10FEFFFF call 13141B90

　　13141D80 68 70501413 push 13145070 ; ASCII "RAVMOND.EXE"

　　13141D85 E8 06FEFFFF call 13141B90

　　13141D8A 68 60501413 push 13145060 ; ASCII "GuardField.exe"

　　13141D8F E8 FCFDFFFF call 13141B90

　　13141D94 68 54501413 push 13145054 ; ASCII "Ravxp.exe"