VT Detection ratio: 1 / 44 awt43abr.zip 吓尿了，又测试一遍，毛豆沙盘值得信任！

firefox3

https://www.virustotal.com/file/ ... nalysis/1356499989/
SHA256: 55e1f9d0a6fdf84c76b81e40a4803d3ac8a5a753a7c7845f9566e9ca5a4d866a
SHA1: 96dc33184c44a2a3394c0f318c1a8f48f9989592
MD5: b080b44c8501b2162a1930e74329e019
File size: 27.4 KB ( 28018 bytes )  
File name: awt43abr.zip
File type: ZIP
Detection ratio: 1 / 44
Analysis date: 2012-12-26 05:33:09 UTC ( 1 分钟 ago )  

Panda Suspicious file 20121225


https://www.virustotal.com/file/ ... nalysis/1356499990/
SHA256: a0a28d5493c0a5c65ae82a023a0f14edddd6b8ddc883e026abfefc839ec4cb9d
SHA1: 8d8c9e5535b1fa98ffbe6160afbf946902d9e94b
MD5: a2ee8cefd0fe0f8515823bd190ab9e80
File size: 228.8 KB ( 234243 bytes )  
File name: wgsdgsdgdsgsd.zip
File type: ZIP
Detection ratio: 9 / 44
Analysis date: 2012-12-26 05:33:10 UTC ( 1 分钟 ago )  


样本来源：buffalofarmersmarket.com/amused/twenty-bodies-everybody.php

自行携带Fan{过}{滤}Qiang工具，jre-7u5-windows-i586.exe

又测试了一边，毛豆沙盘顶住了，没穿！！！！

2012-12-26 15:03:14         C:\Documents and Settings\Administrator\wgsdgsdgdsgsd.exe         Sandbox中运行         部分限制
2012-12-26 15:03:15         C:\Documents and Settings\Administrator\wgsdgsdgdsgsd.exe         Sandbox中运行         部分限制
2012-12-26 15:03:20         C:\WINDOWS\explorer.exe         访问内存         C:\Program Files\COMODO\COMODO Internet Security\cfp.exe
2012-12-26 15:03:34         C:\Documents and Settings\Administrator\awt43abr.exe         Sandbox中运行         部分限制
2012-12-26 15:03:44         C:\Documents and Settings\Administrator\awt43abr.exe         Sandbox中运行         部分限制
2012-12-26 15:03:53         C:\WINDOWS\explorer.exe         访问内存         C:\Program Files\COMODO\COMODO Internet Security\cfp.exe
2012-12-26 15:04:10         C:\Documents and Settings\Administrator\awt43abr.exe         Sandbox中运行         部分限制
2012-12-26 15:04:13         C:\WINDOWS\system32\wuauclt.exe         Sandbox中运行         部分限制
2012-12-26 15:04:16         C:\WINDOWS\system32\wuauclt.exe         修改文件         C:\Documents and Settings\All Users\Local Settings\Temp\mszsip.exe
2012-12-26 15:04:16         C:\WINDOWS\system32\wuauclt.exe         修改注册表项         HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
2012-12-26 15:04:16         C:\WINDOWS\system32\wuauclt.exe         修改文件         C:\Documents and Settings\Administrator\awt43abr.exe
2012-12-26 15:04:16         C:\WINDOWS\system32\wuauclt.exe         访问内存         System
2012-12-26 15:04:16         C:\WINDOWS\system32\wuauclt.exe         访问内存         System
报告结束







https://www.virustotal.com/file/ ... nalysis/1356505949/
SHA256: 72dc92eabe88b63f65c68dde68c6f893c074f0b827e898dcaa1d392d657b650f 
SHA1: 92bbd1cca6432e9cae9114873161b3c917ee9551 
MD5: f0d440c9e1d68ba46dc9b53492cc4de1 
File size: 27.4 KB ( 28014 bytes )  
File name: mszsip.zip 
File type: ZIP 
Tags: zip  
Detection ratio: 1 / 46 
Analysis date: 2012-12-26 07:12:29 UTC ( 14 分钟 ago )  

扫描被过，主防被过，双重杯具！

katatlove 发表于 2012-12-26 15:39
重启还是那样，mszsip.zip 这个 BD和BG 都过了

saga3721

义妹标题好醒目，支持！
样本就让别人代我测吧，以减轻你的负担

firefox3

saga3721 发表于 2012-12-26 13:43
义妹标题好醒目，支持！
样本就让别人代我测吧，以减轻你的负担

这个可真是极品啊  我毛豆默认规则 沙盘被穿 启动项被添加

saga3721

firefox3 发表于 2012-12-26 14:30
这个可真是极品啊  我毛豆默认规则 沙盘被穿 启动项被添加

嗯，心情理解，我从一开始都信你

jhlxsxj

firefox3 发表于 2012-12-26 14:30
这个可真是极品啊  我毛豆默认规则 沙盘被穿 启动项被添加

看看V6的完全虚拟化呢，低权限不一定拦得住。

firefox3

saga3721 发表于 2012-12-26 13:43
义妹标题好醒目，支持！
样本就让别人代我测吧，以减轻你的负担

附件提供下载

firefox3

saga3721 发表于 2012-12-26 14:32
嗯，心情理解，我从一开始都信你

关键是我没弄明白是不是我搞错了还是利用什么穿破的！！！

saga3721

firefox3 发表于 2012-12-26 14:38
关键是我没弄明白是不是我搞错了还是利用什么穿破的！！！

不错，OP和微点也没反应，想来自有高人分析吧
不过既然放出那我伞兵自然是得上报的了
File ID        Filename        Size (Byte)        Result
27323799        桌面.rar        255.43 KB        OK
A listing of files contained inside archives alongside their results can be found below:
File ID        Filename        Size (Byte)        Result
27323796        awt43abr.exe        44 KB        UNDER ANALYSIS
27323798        wgsdgsdgdsgsd.exe        260 KB        UNDER ANALYSIS

firefox3

saga3721 发表于 2012-12-26 14:40
不错，OP和微点也没反应，想来自有高人分析吧
不过既然放出那我伞兵自然是得上报的了
File ID         ...

你微点双击的吗？

jhlxsxj

saga3721 发表于 2012-12-26 14:40
不错，OP和微点也没反应，向来自有高人分析吧
不过既然放出那我伞兵自然是得上报的了
File ID         ...

果真红伞党啊，我虽然用红伞但是只在一台笔记本上用，其他的GD,A2,，虚拟机还有BD,蜘蛛伺候。不过感觉A2好玩，没修复，主防mamutu弹窗好多。