第三枚来自管家的远控木马

显示全部楼层 · 发表于 2015-8-10 22:20:45

母体

主体

运行母体出现

接着点击

重新登录系统

远控连接远程，写入启动项

显示全部楼层 · 发表于 2015-8-10 22:25:24

这个EAV KILL

显示全部楼层 · 发表于 2015-8-10 22:25:45

本帖最后由学雷锋做人于 2015-8-10 22:28 编辑

报毒的为可执行文件

显示全部楼层 · 发表于 2015-8-10 22:32:22

BAV启发杀掉母体包的dll

显示全部楼层 · 发表于 2015-8-10 23:41:08

本帖最后由 Flying_Bird 于 2015-8-11 00:29 编辑

Huorong killed 2x.

\mui\windlwork.dll Trojan/Obfuscated.a
\远程控制木马\PS\ps.txt >> p02.txt Trojan/Obfuscated.a

[mw_shl_code=xml,true]风险进程：C:\Documents and Settings\Administrator\桌面\Two\远程控制木马\yx.bat
风险动作：修改系统应用程序
用户操作：已忽略
目标文件：C:\WINDOWS\mui\svchost.exe
风险进程：C:\Documents and Settings\Administrator\桌面\Two\远程控制木马\yx.bat
风险动作：修改系统应用程序
用户操作：已忽略
目标文件：C:\WINDOWS\mui\svchost.exe
风险进程：C:\WINDOWS\mui\svchost.exe
风险动作：修改启动项
用户操作：已忽略
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\MsWWinLm
风险进程：C:\WINDOWS\mui\svchost.exe
风险动作：修改关键系统策略项
用户操作：结束进程
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
操作程序：C:\WINDOWS\limit\dllhost.exe
行为说明：连接远程端口
访问地址：远程 0.0.0.0:0[保留]
风险进程：C:\WINDOWS\limit\dllhost.exe
风险动作：修改系统应用程序
用户操作：已忽略
目标文件：C:\Program Files\limit\crossfire.exe
操作程序：C:\WINDOWS\limit\dllhost.exe
行为说明：连接远程端口
访问地址：远程 171.105.198.146:2011[保留]
操作程序：C:\WINDOWS\mui\svchost.exe
行为说明：连接远程端口
访问地址：远程 121.42.4.114:80[河北省石家庄市]
风险进程：C:\WINDOWS\mui\svchost.exe
风险动作：修改关键系统策略项
用户操作：已忽略
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
[/mw_shl_code]

显示全部楼层 · 发表于 2015-8-10 23:58:18

IDS疯狂拦截母体衍生物 AVC拦截衍生物

显示全部楼层 · 发表于 2015-8-11 00:45:18

样本收藏了。

显示全部楼层 · 发表于 2015-8-11 07:38:42

诺顿再次被过得干干净净彻彻底底！

显示全部楼层 · 发表于 2015-8-11 10:45:18

胖福发表于 2015-8-11 07:38
诺顿再次被过得干干净净彻彻底底！

不敢用。。。

显示全部楼层 · 发表于 2015-8-11 11:22:25

火绒杀

[病毒样本] 第三枚来自管家的远控木马

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源