远控木马【关键是启动项加的牛逼--二楼有查杀方法】

显示全部楼层 · 发表于 2017-2-10 20:06:06

本帖最后由 vm001 于 2017-2-13 21:13 编辑

别光扫描找一下启动项在哪里
不是指run启动项哈
比如

不要只上报给官方，关键是有主防的杀软看下母体样本的手法。。值得他们去看下

显示全部楼层 · 发表于 2017-2-13 21:11:51

本帖最后由 vm001 于 2017-2-13 23:25 编辑

此病毒的手工杀毒方式，删除$MSRecycle.Bin下的衍生物病毒文件是必须的。。
然而这不算是处理完美，关键是病毒劫持bits服务来达到开机启动病毒，而这个和之前说的在注册表一点关系没有。
这个关键是通过数据劫持的，恶意文件路径C:\ProgramData\Microsoft\Network\Downloader下的qmgr0.dat和qmgr1.dat2个文件被加载了恶意的东西。而由于bits服务启动的时候要读取这个，所以正好读取了恶意内容造成启动了指定的木马程序，我们的错里方式就是删除它，文件默认没有权限，所以我们赋予当前用户完全控制权限，利用工具从svchost.exe解锁，或者停用bits服务后删除即可，删除C:\Windows\System32下的oci.dll然后问题就彻底解决了

显示全部楼层 · 发表于 2017-2-10 20:10:29

母体
卡巴斯基安全软件
拒绝访问
无法访问该网页

对象网址:

https://att.kafan.cn/forum.php?mo ... DYwNDg1N3wyMDc2NTc2

原因:

对象感染源 Exploit.Win32.BypassUAC.agf
消息生成时间: 2017/2/10 20:08:49
衍生物都不报

显示全部楼层 · 发表于 2017-2-10 20:19:29

文件信誉杀

衍生物【上报】

显示全部楼层 · 发表于 2017-2-10 20:37:51

毒霸

[mw_shl_code=css,true]下载时间: 2017-02-10 20:35:48
下载工具:  QQ浏览器
文件路径:  f:\浏览器下载\远控木马母体.zip
病毒名:  Win32.Heur.KVM005.a
操作结果:  已删除

下载时间: 2017-02-10 20:36:06
下载工具:  QQ浏览器
文件路径:  f:\浏览器下载\远控木马衍生物.part1.rar
病毒名:  Win32.Heur.KVM005.a
操作结果:  已删除[/mw_shl_code]

显示全部楼层 · 发表于 2017-2-10 20:47:29

WD 不报。

显示全部楼层 · 发表于 2017-2-10 21:21:07

[mw_shl_code=css,true]

警告
已在该网站上发现一个可疑文件/形式。已阻止对该网站的访问。
请求的 URL： https://att.kafan.cn/forum.php?mo ... DY2OTY2NnwyMDc2NTc2
信息：包含 EXP/BypassUAC.gbuzu 漏洞攻击的识别模式[/mw_shl_code]

显示全部楼层 · 发表于 2017-2-10 23:03:10

样本全程过360网购模式，还会进入游戏模式

显示全部楼层 · 发表于 2017-2-10 23:10:35

电脑发烧友发表于 2017-2-10 23:03
样本全程过360网购模式，还会进入游戏模式

关键是启动项，样本执行以后咱们结束样本的所有进程，然而重启系统会发现msdtc会写这个样本的启动项到run，那问题就在这里，msdtc为什么会启动样本呢？这个启动项在什么位置？

显示全部楼层 · 发表于 2017-2-10 23:19:28

ESET 扫描 miss

Live Grid [未收录/已上报]

显示全部楼层 · 发表于 2017-2-10 23:34:28

本帖最后由电脑发烧友于 2017-2-10 23:41 编辑

vm001 发表于 2017-2-10 23:10
关键是启动项，样本执行以后咱们结束样本的所有进程，然而重启系统会发现msdtc会写这个样本的启动项到run ...

这个注册表是Windows中加载的服务了而且级别应该是最高的。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\MSDTC\ObjectName

[病毒样本] 远控木马【关键是启动项加的牛逼--二楼有查杀方法】

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分