白+黑远控木马

显示全部楼层 · 发表于 2016-10-16 15:35:13

来自管家论坛
全程过360
母体
衍生物

我上传的是压缩包
看火绒行为防御可以拦截

而这里我需要和大家说，白+黑木马最常见传播最广的是一些棋牌游戏木马（比如850那些游戏安装包捆绑）
还有就是一些游戏装备交易用来欺骗卖家或者买家的远控。。
而我们在实际的使用过程中，用的是QQ传输，直接传送包含木马的文件夹，而不是传给你一个压缩包。。
比如用QQ直接传一个文件夹过去，火绒全程被过

所以我们的测试环境要仿真，虚拟机挂一个QQ，从实机里用QQ直接传给虚拟机QQ一个包含木马的文件夹过去，然后在虚拟机里测试。。

显示全部楼层 · 发表于 2016-10-16 15:42:08

本帖最后由 wjy19800315 于 2016-10-16 15:45 编辑

wd与数字现在还是全miss

显示全部楼层 · 发表于 2016-10-16 15:45:43

这个小a无脑miss，我无脑上报……

不知道他们分析样本会不会开QQ，估计有1%的可能性会开吧

显示全部楼层 · 发表于 2016-10-16 15:51:03

本帖最后由 dongwenqi 于 2016-10-16 17:08 编辑

卡巴杀部分，剩余上报

尊敬的用户您好，

感谢您的帮助，在您提交的附件中已经发现新的恶意软件，请稍后更新最新数据库试一下。
ExceptionHandler.dll - Trojan.Win32.DLLhijack.fs
QbBridge.dll - Backdoor.Win32.Agent.dozl

Other files are clean.

显示全部楼层 · 发表于 2016-10-16 15:55:42

欧阳宣发表于 2016-10-16 15:45
这个小a无脑miss，我无脑上报……

不知道他们分析样本会不会开QQ，估计有1%的可能性会开吧

分析样本和开QQ有关系？我说的是实际的传播，和真实的环境。。。

显示全部楼层 · 发表于 2016-10-16 16:13:02

vm001 发表于 2016-10-16 15:55
分析样本和开QQ有关系？我说的是实际的传播，和真实的环境。。。

完全没关系啊，火绒的这个报法是主防杀，只有病毒运行之后才会触发。等到入库之后，不管你用QQ传还是别的什么就都会杀了。

显示全部楼层 · 发表于 2016-10-16 16:15:51

金山miss

显示全部楼层 · 发表于 2016-10-16 18:38:10

我不双击……

显示全部楼层 · 发表于 2016-10-16 22:45:20

查找支付宝窗口...
然后登陆的时候，键盘记录，再把数据秒传出去，又回归安静
就是这样...

显示全部楼层 · 发表于 2016-10-17 00:05:07

本帖最后由 linzh 于 2016-10-17 00:47 编辑

哟升级了，反沙箱？一会虚拟机跑诺顿试试

双击过诺顿

显示全部楼层 · 发表于 2016-10-17 02:48:49

vm001 发表于 2016-10-16 15:55
分析样本和开QQ有关系？我说的是实际的传播，和真实的环境。。。

不是你说的要拿qq接收来模拟什么真实环境么

显示全部楼层 · 发表于 2016-10-17 07:25:51

欧阳宣发表于 2016-10-17 02:48
不是你说的要拿qq接收来模拟什么真实环境么

真捉急。。。让你看下这个你就知道怎么回事了http://bbs.kafan.cn/thread-2060837-1-1.html

让测试时用QQ传，是为了测试杀软在实际传播的时候能否拦截。。
这个和分析病毒啥关系都没有，木马并不会因为传文件夹和传压缩包而改变行为。。

显示全部楼层 · 发表于 2016-10-17 11:00:37

卡巴

Microsoft Dementias\QbBridge.dll detected       UDS:DangerousObject.Multi.Generic
最新出货表\Dat\ExceptionHandler.dll    detected       UDS:DangerousObject.Multi.Generic
最新出货表\ppbm.bat    detected       Trojan.WinLNK.Agent.pu
最新出货表\未命名.bmp.lnk    detected       Trojan.WinLNK.Agent.px

显示全部楼层 · 发表于 2016-11-9 11:00:49

金山miss

显示全部楼层 · 发表于 2016-11-9 18:27:21

linzh 发表于 2016-10-17 00:05
哟升级了，反沙箱？一会虚拟机跑诺顿试试
双击过诺顿

你的楼上……铁壳的信誉干掉了

显示全部楼层 · 发表于 2016-11-9 21:20:58

gdata下载拦截

显示全部楼层 · 发表于 2016-11-10 01:44:33

蓝核发表于 2016-11-9 18:27
你的楼上……铁壳的信誉干掉了

我说的“过”指的是非万物杀模式的过
开了信誉万物杀的话这些当然过不了

楼上的是未知信誉所以杀

显示全部楼层 · 发表于 2016-11-10 08:21:11

本帖最后由 BHHZDQL 于 2016-11-10 08:24 编辑

直接KILL

还原后点击里面的快捷方式

拦截

点击bat，直接拦截

显示全部楼层 · 发表于 2016-11-10 15:38:23

linzh 发表于 2016-11-10 01:44
我说的“过”指的是非万物杀模式的过
开了信誉万物杀的话这些当然过不了
楼上的是未知信誉所以 ...

信誉源也算一种标杆各家都一样……啊激进的铁壳

显示全部楼层 · 发表于 2016-11-11 05:40:38

蓝核发表于 2016-11-10 15:38
信誉源也算一种标杆各家都一样……啊激进的铁壳

但是

，这样子就不用测了
恶意文件的信誉不可能是良好吧，不是良好的全部都直接杀。。。

未知文件的信誉初始直接是不良，不像卡巴之流的信誉..

就像卡巴开启了受信任的应用程序模式一样过不了

[病毒样本] 白+黑远控木马

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源