850游戏远控木马

vm001

钓鱼网址
http://www.gam850.com/index-7.html

下载链接
http://850game.oss-cn-hangzhou.aliyuncs.com/850lobby.exe

（样本网盘备份)
https://yunpan.cn/ckJRTGsYArek6 （提取码：965d）

木马样本








执行安装包。。释放木马到%temp%下执行添加启动项



火绒和360可以拦截这个启动项
（记得卡饭之前有个样本写过类似启动项，后来火绒和360添加了拦截规则）




创建远控木马到C:\$MSRecycle.Bin下执行



此时木马已经可以远程控制。。。有时会下载另一个木马list.dll



再看游戏安装目录同时也释放了后门dll

驭龙

我只测样本体

首先诺顿NS 22.8
双击，防火墙询问


允许第一个，第二个阻止


SONAR杀双击的C启动体


然而回滚似乎失败了，C程序已经把文件复制到根目录，而且T程序成功运行


我头一次看到这种SONAR杀后，依然有问题。

ccboxes

反虚拟机？
动作一切正常，没有释放木马。。。。。。。

vm001

ccboxes 发表于 2016-9-12 09:04
反虚拟机？
动作一切正常，没有释放木马。。。。。。。

不反虚拟机，反沙盘

ccboxes

vm001 发表于 2016-9-12 09:13
不反虚拟机，反沙盘

那就不清楚了，在VirtualBox里正常装完程序之后就一直挂在那里无动作，没有释放木马也没写启动项。

fireherman

ESET，下载后右键扫描安装包，miss 安装完成后，ESET 马上 Kill （隔离） 忘记了截内存、服务、管理的图

驭龙

再来个黑寡妇的，DPH不杀这种类型，仅测防火墙。
双击C程序，防火墙询问 选择允许


T程序成功创建，开始联网 选择允许


T程序创建服务，我这里预防性保护是开询问模式的，所以询问，选择阻止


T程序与远端有一点点的数据通讯

vm001

驭龙 发表于 2016-9-12 09:40
再来个黑寡妇的，DPH不杀这种类型，仅测防火墙。
双击C程序，防火墙询问 选择允许

嗯，这个时候只是链接成功了，没有做别的

驭龙

vm001 发表于 2016-9-12 09:45
嗯，这个时候只是链接成功了，没有做别的

嗯，只是连接了，并没有被远控，如果挂机一段时间，或许对方才会有操作吧，不过我没有挂。

现在看来对付远控还是360或者好一点的防火墙，但防火墙是人工选择不适合普通用户

远控确实是一个挺麻烦的威胁啊

胖福

文件名: list.dll
威胁名称: Heur.AdvML.B完整路径: f:\norton样本\sonar漏检\临时收集\list.dll

____________________________

____________________________


在电脑上 
2016-9-12 ( 09:51:09 )

上次使用时间 
2016-9-12 ( 09:53:10 )

启动项 
否

已启动 
否

威胁类型: 启发式病毒。 根据恶意软件启发式技术检测威胁。

____________________________


list.dll 威胁名称: Heur.AdvML.B
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
list.dll

____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ list.dll 已删除
____________________________


文件指纹 - SHA:
7faf0fb38a83485ffbb861a87aa95c52b239704b8e159e2d6ebf6fa3610d2e6c
文件指纹 - MD5:
不可用