网购木马（六）

guidanba

已有两家报毒，包括金山

yhjtj

怎么还是六，该是7了吧，先下载站位，等下有时间测试下lz的高质量木马！
怎么搞到的？太强了
记不得用哪个程序，启动这个dll，给个链接，谢谢

英九

过小A

guidanba

yhjtj 发表于 2012-3-23 09:47
怎么还是六，该是7了吧，先下载站位，等下有时间测试下lz的高质量木马！
怎么搞到的？太强了
记不得用哪个 ...

那是盗号系列该7了，网购才6.

Nocria

To AVG & ESET

悠柚

下面提供了与每个样本相关的详细报告:
文件名         结果
hwsig6.dll          UNDER ANALYSIS

已确定“hwsig6.dll”文件是“UNDER ANALYSIS”。

sanhu35

红伞未报，没主程序无法测试

guidanba

sanhu35 发表于 2012-3-23 10:12
红伞未报，没主程序无法测试

4楼就是啊

sanhu35

完整的包

不给权限，不入组  运行

2012-3-23 10:18:05    创建新进程 (3)    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\详情.exe
命令行: "C:\Documents and Settings\Administrator\桌面\详情.exe"
规则: [应用程序]c:\windows\explorer.exe

破环window文件效验
2012-3-23 10:18:06    创建注册表项    阻止
进程: c:\documents and settings\administrator\桌面\详情.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{1b55460a-c650-4bb7-ad7a-63a629dc7d3a}
规则: [注册表组]重要设置 -> [注册表]*\Software\Policies\*

2012-3-23 10:18:06    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\详情.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\TransparentEnabled
值: 0x00000002(2)
规则: [注册表组]重要设置 -> [注册表]*\Software\Policies\*

2012-3-23 10:18:06    创建文件夹    阻止
进程: c:\documents and settings\administrator\桌面\详情.exe
目标: C:\Program Files\a.
规则: [文件组]只读磁盘 -> [文件]c:\*

2012-3-23 10:18:06    创建文件夹    阻止
进程: c:\documents and settings\administrator\桌面\详情.exe
目标: C:\Program Files\a
规则: [文件组]只读磁盘 -> [文件]c:\*

2012-3-23 10:18:06    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\详情.exe
目标: C:\haotu.dat
规则: [文件组]只读磁盘 -> [文件]c:\*

2012-3-23 10:18:06    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\详情.exe
目标: C:\hwsig.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2012-3-23 10:18:06    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\详情.exe
目标: C:\seup.exe
规则: [文件组]只读磁盘 -> [文件]c:\*

2012-3-23 10:18:06    创建注册表项    阻止
进程: c:\documents and settings\administrator\桌面\详情.exe
目标: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
规则: [注册表组]重要设置 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies*

2012-3-23 10:18:06    创建注册表项    阻止
进程: c:\documents and settings\administrator\桌面\详情.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
规则: [注册表组]重要设置 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies*

都不用详细测试了

倾枫锝渔♂

那个dll文件 ms多加了一个数字

修改了之后 运行之  数字kill





弹出了一个记事本~


进程结束之   ~~~~