远控木马（十九）

显示全部楼层 · 发表于 2012-6-24 02:25:12

本帖最后由 guidanba 于 2012-6-24 02:30 编辑

，目前仅趋势报，欢迎实机主防、下载和网页保护的回复不欢迎。

显示全部楼层 · 发表于 2012-6-24 03:21:35

在 C:\Program Files\ 建立了1个文件夹名为YfyYb 接着创建2个文件 ByaOdgygugy.exe和StormPlayer.dll ByaOdgygugy.exe开启键盘记录联网 183.44.173.244. 下载时金山卫士报安全.貌似现在这种一次性的木马比较流行.........

显示全部楼层 · 发表于 2012-6-24 06:37:50

显示全部楼层 · 发表于 2012-6-24 07:20:37

本帖最后由 DPT1 于 2012-6-24 07:39 编辑

实机运行不了，毛豆入沙

火眼https://fireeye.ijinshan.com/ana ... 50945d09027e5a515a1

显示全部楼层 · 发表于 2012-6-24 07:26:21

你会使用毛豆吗一路允许看到绿弹窗再允许吧

显示全部楼层 · 发表于 2012-6-24 07:37:35

biange200 发表于 2012-6-24 07:26
你会使用毛豆吗一路允许看到绿弹窗再允许吧

你自己用毛豆入沙看看

显示全部楼层 · 发表于 2012-6-24 08:01:39

zaqwe3008 发表于 2012-6-24 03:21
在 C:\Program Files\ 建立了1个文件夹名为YfyYb 接着创建2个文件 ByaOdgygugy.exe和StormPlayer.dll B ...

看一下他是不是利用快捷键启动，我这里虽然可以运行，样本无动作

显示全部楼层 · 发表于 2012-6-24 08:22:11

本帖最后由 00315 于 2012-6-24 08:32 编辑

2012-6-24 08:19:48 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\program files\yfyyb\byaodgygugy.exe
命令行: "C:\Program Files\YfyYb\ByaOdgygugy.exe"
规则: [应用程序]*

2012-6-24 08:19:58 创建新进程允许
进程: c:\program files\yfyyb\byaodgygugy.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\IEXPLORE.EXE" http://www.ip138.com/ips138.asp?ip=aa6688519.gnway.net
规则: [应用程序]*

2012-6-24 08:21:10 结束其他进程允许
进程: c:\program files\yfyyb\byaodgygugy.exe
目标: c:\program files\internet explorer\iexplore.exe
规则: [应用程序]*

2012-6-24 08:21:12 访问网络允许
进程: c:\program files\yfyyb\byaodgygugy.exe
目标: TCP [本机 : 1295] -> [183.44.173.244 : 168]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

检测到360的相关文件不给运行？
-------------------------------------------
卸载360后的动作
2012-6-24 08:30:10 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\19\oqoyne.exe
命令行: "C:\Documents and Settings\Administrator\桌面\19\OqoYne.exe"
规则: [应用程序]*

2012-6-24 08:30:14 创建文件允许
进程: c:\documents and settings\administrator\桌面\19\oqoyne.exe
目标: C:\Program Files\YfyYb\StormPlayer.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2012-6-24 08:30:18 创建文件允许
进程: c:\documents and settings\administrator\桌面\19\oqoyne.exe
目标: C:\Program Files\YfyYb\ByaOdgygugy.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2012-6-24 08:30:20 创建新进程允许
进程: c:\documents and settings\administrator\桌面\19\oqoyne.exe
目标: c:\program files\yfyyb\byaodgygugy.exe
命令行: "C:\Program Files\YfyYb\ByaOdgygugy.exe"
规则: [应用程序]*

2012-6-24 08:30:23 创建新进程允许
进程: c:\documents and settings\administrator\桌面\19\oqoyne.exe
目标: c:\windows\system32\rundll32.exe
命令行: "rundll32.exe" C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\Documents and Settings\Administrator\桌面\19\xxx.jpg
规则: [应用程序]*

2012-6-24 08:30:25 访问网络允许
进程: c:\program files\yfyyb\byaodgygugy.exe
目标: TCP [本机 : 1341] -> [183.44.173.244 : 168]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-6-24 08:31:02 底层键盘操作 (12) 允许
进程: c:\program files\yfyyb\byaodgygugy.exe
规则: [应用程序]*

显示全部楼层 · 发表于 2012-6-24 09:38:13

火眼没有运行报告。
https://fireeye.ijinshan.com/ana ... fbbc332def8f9c20377

显示全部楼层 · 发表于 2012-6-24 09:41:00

首页看看~测试

[病毒样本] 远控木马（十九）

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源