淘宝掌柜发给我的所谓的商品参数说明

skycai

第一层压缩，是否真的是rar格式呢？
或者其他非常用压缩格式改了个rar扩展名？

留侯

大蜘蛛clean，文件加了壳：
参数报表\亲，双击打开\Shuoming.exe 已打包，方式： PESTUB
参数报表\亲，双击打开\Shuoming.exe 已打包，方式： PESTUB
已上报！的确是压缩炸弹啊！

知微

忧郁的迷糊酱 发表于 2011-6-19 04:56
金山毒霸下载保护报安全，右键扫描报安全，云鉴定报安全。

层层解压出那个EXE后报毒。

据说是什么ace格式下载保护什么的不支持

fengliu139

解压后小Akill

zhou0197

比较神奇……直接不能运行，改后缀为rar，是压缩文件，解压就是炸弹了，巨大。关键是行为上有亮点……


2011-6-19 12:34:04    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\desktop\shuoming.exe
命令行: "D:\我的文档\Desktop\Shuoming.exe"
规则: [应用程序]*

2011-6-19 12:34:06    创建文件    允许
进程: d:\我的文档\desktop\shuoming.exe
目标: D:\我的文档\taobao\s.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-6-19 12:34:48    创建文件    允许
进程: d:\我的文档\desktop\shuoming.exe
目标: D:\我的文档\taobao\web.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-6-19 12:34:49    修改注册表值    允许
进程: d:\我的文档\desktop\shuoming.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
值: D:\我的文档\taobao\s.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\*

2011-6-19 12:34:49    挂起其他进程    允许
进程: d:\我的文档\desktop\shuoming.exe
目标: c:\windows\system32\services.exe
规则: [应用程序]*

2011-6-19 12:34:52    创建新进程    允许
进程: d:\我的文档\desktop\shuoming.exe
目标: c:\windows\system32\services.exe
命令行: C:\WINDOWS\system32\services.exe
规则: [应用程序]*

2011-6-19 12:34:52    修改其他进程的内存    允许
进程: d:\我的文档\desktop\shuoming.exe
目标: c:\windows\system32\services.exe
规则: [应用程序]*

2011-6-19 12:34:58    访问网络    允许
进程: c:\windows\system32\services.exe
目标: TCP [本机 : 1033] ->  [218.93.205.235 : 1111]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]



没有病毒自身联网，是修改services.exe的内存，利用它联网！！这个思路很新颖啊！！值得注意！

noahgong

小A右键报解压缩炸弹

a256886572008

zhou0197 发表于 2011-6-19 12:45
比较神奇……直接不能运行，改后缀为rar，是压缩文件，解压就是炸弹了，巨大。关键是行为上有亮点……


...

控制系統程序訪問網路，N年前的木馬就能這樣做了

leisong

忧郁的迷糊酱 发表于 2011-6-19 04:56
金山毒霸下载保护报安全，右键扫描报安全，云鉴定报安全。

层层解压出那个EXE后报毒。

难道现在入库了

忧郁的迷糊酱

leisong 发表于 2011-6-19 13:26
难道现在入库了

看来是的，昨天我下载的时候报安全文件。

XMonster

说明真够大的 300M

在文件“D:\下载\参数报表\亲，双击打开\Shuoming.exe”中检测到病毒或
恶意程序“TR/Dropper.Gen [trojan]”。
执行的操作:拒绝访问