盗号木马（十一)

显示全部楼层 · 发表于 2012-4-26 10:25:39

本帖最后由 guidanba 于 2012-4-26 10:26 编辑

，其中的ocx黑文件目前仅江民、Sophos报。

惯例声明：不欢迎鉴定器、下载保护、网页拦截之类回复，欢迎实机主防。

显示全部楼层 · 发表于 2012-4-26 10:28:01

虚拟机卸了不敢测sonar了等楼下

显示全部楼层 · 发表于 2012-4-26 10:34:20

过诺顿双击

显示全部楼层 · 发表于 2012-4-26 10:34:58

to mse

显示全部楼层 · 发表于 2012-4-26 10:37:34

双击过卡巴斯基

MD有弹窗貌似看不懂

显示全部楼层 · 发表于 2012-4-26 10:38:28

2012-4-26 10:35:34 c:\documents and settings\administrator\桌面\厢册.exe 修改注册表值 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\QQMusic 允许 [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\* 值: C:\Documents and Settings\Administrator\桌面\厢册.exe
2012-4-26 10:35:35 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 c:\windows\explorer.exe 允许 [应用程序]* 消息: WM_GETTEXT
2012-4-26 10:35:35 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 c:\program files\kaspersky lab\kaspersky anti-virus 2012\klwtbws.exe 允许 [应用程序]* 消息: WM_GETTEXT
2012-4-26 10:35:35 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 c:\program files\internet explorer\iexplore.exe 允许 [应用程序]* 消息: WM_GETTEXT
2012-4-26 10:36:34 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 (12) c:\windows\explorer.exe 允许 [应用程序]* 消息: WM_GETTEXT
2012-4-26 10:36:36 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 (3) c:\program files\kaspersky lab\kaspersky anti-virus 2012\klwtbws.exe 允许 [应用程序]* 消息: WM_GETTEXT
2012-4-26 10:36:38 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 (2) c:\program files\internet explorer\iexplore.exe 允许 [应用程序]* 消息: WM_GETTEXT
2012-4-26 10:36:41 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 (4) c:\program files\avira\antivir desktop\avgnt.exe 允许 [应用程序]* 消息: WM_GETTEXT
2012-4-26 10:36:43 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 (2) c:\program files\vmware\vmware tools\vmwareuser.exe 允许 [应用程序]* 消息: WM_GETTEXT
2012-4-26 10:36:45 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 (2) c:\windows\system32\ctfmon.exe 允许 [应用程序]* 消息: WM_GETTEXT
2012-4-26 10:36:47 c:\documents and settings\administrator\桌面\厢册.exe 向其他进程发送消息 (2) c:\windows\explorer.exe 允许 [应用程序]* 消息: WM_GETTEXT

显示全部楼层 · 发表于 2012-4-26 10:45:25

To ESET & AVG.

显示全部楼层 · 发表于 2012-4-26 10:48:37

红伞miss，to

显示全部楼层 · 发表于 2012-4-26 10:49:04

本帖最后由 sanhu35 于 2012-4-26 10:53 编辑

不给权限，不加入组，运行

2012-4-26 10:47:31 加载动态链接库允许
进程: c:\documents and settings\administrator\桌面\厢册\厢册.exe
目标: c:\documents and settings\administrator\桌面\厢册\msdxm.ocx
规则: [应用程序]* -> [动态链接库]*\桌面\*

读取QQ目录的QQ 号信息
2012-4-26 10:47:37 读文件夹阻止
进程: c:\documents and settings\administrator\桌面\厢册\厢册.exe
目标: D:\Program Files\Tencent\QQ\Users
规则: [文件组]隐藏磁盘 -> [文件]d:\*

2012-4-26 10:47:37 修改注册表值阻止
进程: c:\documents and settings\administrator\桌面\厢册\厢册.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\QQMusic
值: C:\Documents and Settings\Administrator\桌面\厢册\厢册.exe
规则: [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2012-4-26 10:47:38 向其他进程发送消息 (2) 阻止
进程: c:\documents and settings\administrator\桌面\厢册\厢册.exe
目标: c:\windows\explorer.exe
消息: WM_GETTEXT
规则: [应用程序]*

==================================
加入病毒测试组看看

试图控制QQ进程，阻止了就没了后文
2012-4-26 10:49:33 修改其他进程阻止
进程: c:\documents and settings\administrator\桌面\厢册\厢册.exe
目标: d:\program files\tencent\qq\bin\qq.exe
规则: [应用程序组]『询问』病毒测试 -> [目标应用程序]*\qq.exe

2012-4-26 10:49:45 向其他进程发送消息允许
进程: c:\documents and settings\administrator\桌面\厢册\厢册.exe
目标: c:\windows\explorer.exe
消息: WM_GETTEXT
规则: [应用程序组]『询问』病毒测试

显示全部楼层 · 发表于 2012-4-26 10:55:27

过了NOD32手动扫描，没敢双击

[病毒样本] 盗号木马（十一)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

[病毒样本] 盗号木马（十 一)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

[病毒样本] 盗号木马（十一)