这回可真要喷360卫士了

显示全部楼层 · 发表于 2013-3-9 23:56:11

本帖最后由 vm001 于 2013-3-10 12:39 编辑

还是刚才那个木马
因为咱不是专业，汇编分析对于咱这知道那点来说难道太大...

这里只凭借经验和测试来看问题了

首先样本运行后释放的文件如下

那么我们为测试，把C:\Program Files\BaoFeng包括文件复制出来
运行，360会直接拦截，主义看连接地址

放过去看看他加载的是谁

然后我们同样把名字改为Win7898609.exe

运行360无拦截，难道配置的是静态iP?
因为连接地址变了

这样执行以后，自身会删除这个Win7898609.exe
病释放到此目录下运行

那么在看下不改名字

同样连接的是真正的远控地址360无拦截

那么我这里是否要怀疑360是单纯的域名或者说黑IP拦截呢？

那么测试完了，通过以上现象可疑看到样本个文件的关系

母体spy.exe执行以后加载同目录下的StormPlayer.dll之后
创建C:\Program Files\BaoFeng\StormPlayer.dll
创建C:\Program Files\BaoFeng\StormPlayer.exe
创建C:\Program Files\Win4562640.exe

然后分为3种启动方式---其实不算方式，只是换了下白+黑的路径与文件名
一原目录下的spy.exe加载同目录下的StormPlayer.dll然后去加载C:\Program Files\BaoFeng\StormPlayer.dll直接执行远控

二 spy.exe加载同目录下的StormPlayer.dll以后去启动C:\Program Files\BaoFeng\StormPlayer.exe加载C:\Program Files\BaoFeng\StormPlayer.dll执行远控，但是这种很容易被类似金山那样的主防规则所拦截

三 spy.exe加载同目录下的StormPlayer.dll执行以后进入内存删除自身，去启动C:\Program Files\Win4562640.exe加载C:\Program Files\BaoFeng\StormPlayer.dll执行远控..
同时启动系统进程csrss.exe来执行这样就容易绕过主防，和避免在运行中因杀毒软件的查杀影响到远控过程

那么拦截关键就是不要让C:\Program Files\BaoFeng\StormPlayer.dll加载进去...

以上这些纯属表面看到的，各厂商工作人员应该详细分析下，以确认正确的拦截方式...
来保障用户隐私安全

显示全部楼层 · 发表于 2013-3-10 00:24:01

本帖最后由 li13911 于 2013-3-10 10:11 编辑

win7下管理员运行

显示全部楼层 · 发表于 2013-3-10 10:43:44

好深奥我还是那句话装个360套装吧下一个引擎开启监控要是真中毒了那也没办法了

显示全部楼层 · 发表于 2013-3-10 10:48:58

这个样本根本就没打算兼容win7。

显示全部楼层 · 发表于 2013-3-10 12:08:13

等着官人来处理

显示全部楼层 · 发表于 2013-3-10 12:41:21

lvhaoran123 发表于 2013-3-10 12:08
等着官人来处理

没有拦截到估计是静态ip的缘故

显示全部楼层 · 发表于 2013-3-10 12:46:29

vm001 发表于 2013-3-10 12:41
没有拦截到估计是静态ip的缘故

这也太没技术含量了啊！！！

显示全部楼层 · 发表于 2013-3-10 12:48:11

liangxy 发表于 2013-3-10 12:46
这也太没技术含量了啊！！！

庞大的云库就是技术含量。

显示全部楼层 · 发表于 2013-3-10 12:49:39

vm001 发表于 2013-3-10 12:41
没有拦截到估计是静态ip的缘故

远控控制端和客户端之间的通信有没有什么特殊的特征？远控有没有什么特殊的特征？

显示全部楼层 · 发表于 2013-3-10 12:51:10

提示: 该帖被管理员或版主屏蔽

liangxy 头像被屏蔽	发表于 2013-3-10 12:51:10 \| 显示全部楼层提示: 该帖被管理员或版主屏蔽
liangxy 头像被屏蔽
	回复举报

[砖头] 这回可真要喷360卫士了

本帖子中包含更多资源

评分