远控木马

显示全部楼层 · 发表于 2017-1-25 23:38:31

只有吾爱的报了

显示全部楼层 · 发表于 2017-1-25 23:44:10

fireherman 发表于 2017-1-25 22:08
这个不清楚ESET，可能未收录，或者只杀衍生物之类。

我想买台组装机专门玩，不会装虚拟机也怕不稳定，你知道天猫上哪个店比较靠谱吗？连显示屏2000以内的。

显示全部楼层 · 发表于 2017-1-25 23:49:14

ysj963 发表于 2017-1-25 23:44
我想买台组装机专门玩，不会装虚拟机也怕不稳定，你知道天猫上哪个店比较靠谱吗？连显示屏2000以内的。

天猫？ESET用户自定义黑名单（还有逃宝、阿里XX），帮不了你，Sorry。

显示全部楼层 · 发表于 2017-1-25 23:50:59

fireherman 发表于 2017-1-25 23:49
天猫？ESET用户自定义黑名单（还有逃宝、阿里XX），帮不了你，Sorry。

你从不上天猫阿里？牛逼！你这是什么规则？感觉把ESET打磨的很溜啊。

显示全部楼层 · 发表于 2017-1-25 23:52:44

ysj963 发表于 2017-1-25 23:50
你从不上天猫阿里？牛逼！你这是什么规则？感觉把ESET打磨的很溜啊。

地址过滤而已，ESS版本才有，可以当广告拦截插件来用。

显示全部楼层 · 发表于 2017-1-25 23:58:24

fireherman 发表于 2017-1-25 23:52
地址过滤而已，ESS版本才有，可以当广告拦截插件来用。

这又是新知识，难道要过滤一个网站的广告只要在网址域名上加两星号？

显示全部楼层 · 发表于 2017-1-26 00:06:56

ysj963 发表于 2017-1-25 23:58
这又是新知识，难道要过滤一个网站的广告只要在网址域名上加两星号？

那个是通配符啊。

左边的可以包含所有支持的协议（http/https/ftp），右边可以设置层级，包括顶级域名。

如：

*.baidu.com/* ;屏蔽百度顶级域名及所有子目录下的所有内容

*.baidu.com/list1/* ;屏蔽百度子目录list1下的所有内容

http://www.baidu.com/* ;禁用http协议打开百度

显示全部楼层 · 发表于 2017-1-26 00:13:15

fireherman 发表于 2017-1-26 00:06
那个是通配符啊。

左边的可以包含所有支持的协议（http/https/ftp），右边可以设置层级，包括顶级 ...

会不会导致网页打不开或者图片打不开?

显示全部楼层 · 发表于 2017-1-26 00:18:36

ysj963 发表于 2017-1-26 00:13
会不会导致网页打不开或者图片打不开?

符合条件的都会被屏蔽，如果被屏蔽的对象是主页，如我这里，阿里XX的主页是打不开的。

如果是内嵌脚本类的，例如网站带有淘宝广告，那么只会屏蔽淘宝（阿里XX）的连接（包括图片等多媒体连接），但并不阻止网站的访问。

如我这个屏蔽规则，不会妨碍我访问百度贴吧，但贴吧上的淘宝广告（阿里XX连接）全部会被屏蔽。

显示全部楼层 · 发表于 2017-1-26 09:25:51

本帖最后由胖福于 2017-1-26 09:27 编辑

文件名: senderdata.exe
威胁名称: SONAR.Heuristic.158
完整路径: 不可用

____________________________

详细信息
极少用户信任的文件, 极新的文件, 风险高

原始
下载自
未知

活动
已执行的操作: 30

____________________________

在电脑上的创建时间
2017-1-26 ( 09:23:52 )

上次使用时间
2017-1-26 ( 09:23:52 )

启动项目
是

已启动
是

____________________________

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________

来源: 外部介质

源文件:
senderdata.exe

____________________________

文件操作

文件: c:\windows\jjh\ senderdata.exe 已删除
文件: f:\norton样本\sonar漏检\临时收集\jjh\ senddata.exe 已删除
目录: c:\Windows\ jjh 已删除
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ Run->网络数据处理2 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run->网络数据处理2 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ senderdata_RASAPI32 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ senderdata_RASMANCS 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ senderdata_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 c:\windows\jjh\senderdata.exe, PID:6080) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\windows\jjh\senderdata.exe, PID:6080) 未采取操作
(执行者 c:\windows\jjh\senderdata.exe, PID:6080) 未采取操作
事件: 进程启动: c:\windows\jjh\ senderdata.exe, PID:6080 (执行者 c:\windows\jjh\senderdata.exe, PID:6080) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\jjh\senddata.exe, PID:6028) 未采取操作
事件: PE 文件创建: c:\windows\jjh\ senderdata.exe (执行者 f:\norton样本\sonar漏检\临时收集\jjh\senddata.exe, PID:6028) 未采取操作
事件: 进程启动: c:\windows\jjh\ senderdata.exe, PID:6080 (执行者 f:\norton样本\sonar漏检\临时收集\jjh\senddata.exe, PID:6028) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\jjh\ senddata.exe, PID:6028 (执行者 f:\norton样本\sonar漏检\临时收集\jjh\senddata.exe, PID:6028) 未采取操作
____________________________

可疑操作

(执行者 c:\windows\jjh\senderdata.exe, PID:6080) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

[病毒样本] 远控木马

本帖子中包含更多资源

本帖子中包含更多资源