送给双机党的元宵节礼物：Trojan.Rombertik

显示全部楼层 · 发表于 2016-2-22 19:20:57

http://www.netswork.us/blog/security-alert-the-rombertik-trojan/

infected

显示全部楼层 · 发表于 2016-2-22 19:21:41

本帖最后由电脑发烧友于 2016-2-22 20:04 编辑

测试环境 VM12 WINXP

尝试访问键盘启动目录写入脚本文件，脚本内容如下。

[mw_shl_code=css,true]Set WshShell = CreateObject("WScript.Shell")
WshShell.Run chr(34) & "C:\Documents and Settings\Administrator\Application Data\rsr\yfoye.bat" & Chr(34), 0
Set WshShell = Nothing[/mw_shl_code]

创建子进程，父进程退出。

子进程访问键盘。

子进程尝试提权，被自动阻止，子进程退出。

显示全部楼层 · 发表于 2016-2-22 19:26:44

GD主房击杀

显示全部楼层 · 发表于 2016-2-22 19:28:27

本帖最后由 BFAX 于 2016-2-22 20:35 编辑

EES双击:

楼下有个家伙让我关掉文件系统实时防护只开HIPS测试，ESET的防护主要就是靠文件系统实时防护，HIPS根本没啥存在感，我平时都是手动模式一步一个拦截倒是谁都跑不了，你说要是调到自动模式连高启发都没有那ESET还用测试个卵，明摆着坑我，欺负新人@windows7爱好者

显示全部楼层 · 发表于 2016-2-22 19:28:50

BFAX 发表于 2016-2-22 19:28
EES双击:

这样双击毫无意义

显示全部楼层 · 发表于 2016-2-22 19:28:52

本帖最后由 1446547521 于 2016-2-22 19:36 编辑

又是拉黑，待我测测NS

22.02.2016 19.27.33;应用程序已添加至组不信任组;NPE File Analyzer;NPE File Analyzer;扫描结果;E:\迅雷下载\Rombertik.exe;02/22/2016 19:27:33
22.02.2016 19.27.34;检测到恶意程序;PDM:Trojan.Win32.Bazon.a;NPE File Analyzer;e:\迅雷下载\rombertik.exe;02/22/2016 19:27:34
22.02.2016 19.27.34;恶意程序已终止;PDM:Trojan.Win32.Bazon.a;NPE File Analyzer;E:\迅雷下载\Rombertik.exe;02/22/2016 19:27:34
22.02.2016 19.27.48;恶意程序已删除;PDM:Trojan.Win32.Bazon.a;NPE File Analyzer;e:\迅雷下载\rombertik.exe;02/22/2016 19:27:48
22.02.2016 19.27.48;检测到的对象 ( 处理内存 ) 将在计算机重启后处理。;e:\迅雷下载\rombertik.exe;e:\迅雷下载\rombertik.exe;PDM:Trojan.Win32.Bazon.a;其它恶意软件;02/22/2016 19:27:48

显示全部楼层 · 发表于 2016-2-22 19:29:28

@aboringman
IDP,来玩玩嘛

显示全部楼层 · 发表于 2016-2-22 19:29:31

本帖最后由 BFAX 于 2016-2-22 19:31 编辑

windows7爱好者发表于 2016-2-22 19:28
这样双击毫无意义

那你说怎么双击才有意义呢

显示全部楼层 · 发表于 2016-2-22 19:29:50

显示全部楼层 · 发表于 2016-2-22 19:29:52

我的文件下载到桌面，然后解压缩到桌面的，为啥检测到的病毒是这个路径

[病毒样本] 送给双机党的元宵节礼物：Trojan.Rombertik

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源