456远控木马

显示全部楼层 · 发表于 2013-2-3 00:32:21

本帖最后由 vm001 于 2013-2-3 00:40 编辑

欺诈网址http://guame445566.blog.163.com/
老样本作者修改了一下
提出的白+黑远控

过360扫描，被ND拦截

金山同样也拦截了远控，但是整体防御不算完美

2013-2-3 00:19:29 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
命令行: "C:\Documents and Settings\Administrator\桌面\ODBC\BFVUpdate.exe"
规则: [应用程序]*

2013-2-3 00:19:33 访问网络允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: TCP [本机 : 1035] ->  [58.221.46.182 : 9066]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-2-3 00:19:34 访问网络允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: TCP [本机 : 1036] ->  [116.255.238.165 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-2-3 00:19:38 修改文件允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: C:\WINDOWS\system32\drivers\etc\hosts
规则: [文件组]系统关键文件 -> [文件]c:\windows\system32\drivers\etc
-----------------------------------------------------------------------------------------------------
修改host无拦截，拦截了远控连接

但是样本后续动作无拦截

根据提示一键云查杀

还有就是拦截的同时没有拒绝进程
--------------------------------------------------------------------------

2013-2-3 00:20:15 底层键盘操作 (6) 允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
规则: [应用程序]*

2013-2-3 00:20:17 访问网络允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: TCP [本机 : 1055] ->  [58.221.46.182 : 9066]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-2-3 00:20:40 修改注册表值允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\Run
值: C:\DOCUME~1\ADMINI~1\桌面\ODBC\BFVUPD~1.EXE
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows; Run

2013-2-3 00:21:00 访问网络允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: TCP [本机 : 1067] ->  [58.221.46.182 : 9066]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-2-3 00:21:17 访问网络允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: TCP [本机 : 1073] ->  [58.221.46.182 : 9066]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-2-3 00:21:32 访问网络允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: TCP [本机 : 1076] ->  [58.221.46.182 : 9066]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-2-3 00:21:48 访问网络允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: TCP [本机 : 1079] ->  [58.221.46.182 : 9066]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-2-3 00:22:25 访问网络允许
进程: c:\documents and settings\administrator\桌面\odbc\bfvupdate.exe
目标: TCP [本机 : 1085] ->  [58.221.46.182 : 9066]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]
-----------------------------------------------------------------------------------------

一键云查杀没查出问题，木马添加开机启动
这个远控的拦截金山还停留在防黑墙刚出来的时候的拦截方式上，
没有相互的防御关联来判断出木马，这点不如360了
望金山改进

显示全部楼层 · 发表于 2013-2-3 00:47:02

显示全部楼层 · 发表于 2013-2-3 00:48:36

iyinyt 发表于 2013-2-3 00:47

你试游戏安装包有啥用，直接运行这个白加黑他拦住了算他本事

显示全部楼层 · 发表于 2013-2-3 00:51:01

vm001 发表于 2013-2-3 00:48
你试游戏安装包有啥用，直接运行这个白加黑他拦住了算他本事

兄弟息怒，我没想表明任何东西，就随手发个截图而已，有必要这么较真吗，和气为贵~！还有我对那个拦截货不拦截兴趣不大

显示全部楼层 · 发表于 2013-2-3 00:52:05

iyinyt 发表于 2013-2-3 00:51
兄弟息怒，我没想表明任何东西，就随手发个截图而已，有必要这么较真吗，和气为贵~！还有我对那个拦截货 ...

没生气啊，只是说测试白加黑是重点

显示全部楼层 · 发表于 2013-2-3 00:56:14

vm001 发表于 2013-2-3 00:52
没生气啊，只是说测试白加黑是重点

白加黑这种东西都这么久了，除了国内的。。国外的还需要单独试吗，这不是自寻烦恼呵呵

显示全部楼层 · 发表于 2013-2-3 00:57:49

关注456

显示全部楼层 · 发表于 2013-2-3 01:30:34

iyinyt 发表于 2013-2-3 00:56
白加黑这种东西都这么久了，除了国内的。。国外的还需要单独试吗，这不是自寻烦恼呵呵

国外杀软对白加黑很有晓的吗？

PS ：毒霸杀毒不错。防御比360来说确实单薄了些。

显示全部楼层 · 发表于 2013-2-3 01:53:14

本帖最后由 haoge250 于 2013-2-3 01:56 编辑

楼主帮看看防住没？
关闭BD实时监控，自动扫描。
双击后无任何反应，远程连接。图1
过了一会被BD主防杀了。图2

显示全部楼层 · 发表于 2013-2-3 02:07:04

网站被阻止！

G Data 互联网安全套装 2013已阻止访问此网站。
该站点包含被感染的代码：Trojan.Agent.AYBO (引擎A).

[病毒样本] 456远控木马

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源