小妹妹.exe 简单分析

凝逸反毒

小妹妹.exe 简单分析

小妹妹.exe 用易语言 vc静态编译的 杀软不报可能与vc版本 有关


杀软不报文件吧,

看行为 有几个病毒行为

设置文件隐藏属性
注入了sbiesvc.exe
[113.108.16.44 : 25 (smtp)]

图标也有问题 用了gif图标

这几个动作 杀软应该要提示的


一个假的qq登陆窗户





有SMTP邮件服务器 特征,
杀软应该要提示的

-------------------有-----------------
a, %d %b %Y %H:%M:%S   %+.2d%.2d   发送数据失败!   HELO %s
   登录指定SMTP邮件服务器“%s”失败!   连接指定SMTP邮件服务器“%s”失败!   创建SOCKET网络组件失败! AUTH LOGIN
    AUTH PLAIN
    PLAIN   LOGIN   AUTH=LOGIN  AUTH    EHLO %s
   QUIT
  
.
   发送附件数据失败!   
--------------------------------------------




2014-4-15 18:14:51    创建新进程    允许
进程: c:\program files\sandboxie\start.exe
目标: d:\新建文件夹\小妹妹.exe
命令行: "D:\新建文件夹\小妹妹.exe"
规则: [应用程序]*

2014-4-15 18:15:24    创建文件    允许
进程: d:\新建文件夹\小妹妹.exe
目标: C:\windows\system32\taskmgr.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-4-15 18:16:00    设置文件隐藏属性    允许
进程: d:\新建文件夹\小妹妹.exe
目标: D:\新建文件夹\小妹妹.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-4-15 18:16:20    创建文件    允许
进程: d:\新建文件夹\小妹妹.exe
目标: D:\Sandbox\4\drive\D\新建文件夹\小妹妹.EXE
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-4-15 18:16:55    修改文件    允许
进程: c:\program files\sandboxie\sbiesvc.exe              -----注入了sbiesvc.exe ----
目标: D:\Sandbox\4\drive\D\新建文件夹\小妹妹.EXE
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-4-15 18:17:08    设置文件隐藏属性    允许
进程: c:\program files\sandboxie\sbiesvc.exe
目标: D:\Sandbox\4\drive\D\新建文件夹\小妹妹.EXE
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-4-15 18:17:46    访问网络    允许
进程: d:\新建文件夹\小妹妹.exe
目标: TCP [本机 : 1035] ->  [113.108.16.44 : 25 (smtp)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-4-15 18:18:04    访问网络    允许
进程: d:\新建文件夹\小妹妹.exe
目标: TCP [本机 : 1036] ->  [113.108.16.44 : 25 (smtp)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-4-15 18:18:21    访问网络    允许
进程: d:\新建文件夹\小妹妹.exe
目标: TCP [本机 : 1037] ->  [113.108.16.44 : 25 (smtp)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

zl181503

瑞星报毒

a445441

凝逸反毒

看起来好正常的行为
所以 不好识别

一个 发信的软件也会这样

凝逸反毒

qq管家可以 识别文字
一些假qq 窗口

fzypc40

凝逸反毒 发表于 2014-4-15 19:12
qq管家可以 识别文字
一些假qq 窗口

这些行为都是QQ粘虫的行为，比较隐蔽

steven_lzs

eav7 miss

Luca.l

Dust-;羅錠

To Dr.Web

[drweb.com #4675940]

---

Your submission has been analyzed. A corresponding record has been added to the Dr.Web virus database and will be available with the next update.

Threat: Trojan.PWS.Qqpass.10802

Thank you for the cooperation.

275751198

360kill
文件信息
文件名称：D:\下载文件存储文件夹\123\新建文件夹\小妹妹.exe
文件大小：
812 Kb
内部名称：
无内部名称
文件签名：
无文件签名信息
文件描述：
木马
文件MD5：
f01b9ab16ad9e6fe15ad838268d1ab89