换汤不换药的锁MBR（附分析过程）

显示全部楼层 · 发表于 2017-2-16 12:56:36

本帖最后由学雷锋做人于 2017-2-16 12:57 编辑

样本来源：病毒吧求助帖（http://tieba.baidu.com/p/4981393468）
样本链接：https://share.weiyun.com/2271c6816f1b0c0bdf1f54d17be783bf（压缩密码：国际通用密码）
样本密码：YINGZI
样本说明：首先这是一个换汤不换药的锁MBR样本，自身不直接修改，通过释放的衍生物执行，也就是说本身没有可以让杀软捕捉到的明显破坏行为，不知道各大杀软引擎对此样本有怎样反应呢？（可能因为时间的关系，导致云入库，可以小做修改再测）

分析过程：

首先跑行为，可以看到释放衍生物在临时目录并且启动

然后找到衍生物的位置

再跑一下行为，发现只有Trick.exe是修改MBR的，区别开来

用OD载入下断点后在堆栈窗口看到显示在界面的作者QQ和设置的密码

显示全部楼层 · 发表于 2017-2-16 12:59:26

卡巴kill

显示全部楼层 · 发表于 2017-2-16 13:03:47

毒霸

[mw_shl_code=css,true]扫描时间：[2017-02-16 13:02:33]
扫描用时：[00:00:04]
扫描类型：自定义查杀
扫描文件总数：1
扫描速度：1文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2017-02-16 13:02:49]
威胁：f:\浏览器下载\家用辅助\家用辅助.exe
类型：win32.troj.adload.hr.621945
处理方式：删除
[/mw_shl_code]

显示全部楼层 · 发表于 2017-2-16 13:06:19

卡巴无法测

直接秒杀

无法双击

显示全部楼层 · 发表于 2017-2-16 13:18:04

解压红伞秒

显示全部楼层 · 发表于 2017-2-16 13:31:04

MSE

显示全部楼层 · 发表于 2017-2-16 13:32:02

火绒kill

显示全部楼层 · 发表于 2017-2-16 14:03:32

VT上ESET报毒。。。但是实际右键扫描ESET没报。。。。。

显示全部楼层 · 发表于 2017-2-16 14:17:23

Symantec

显示全部楼层 · 发表于 2017-2-16 14:56:09

本帖最后由胖福于 2017-2-16 15:05 编辑

文件名: 家用辅助.exe
威胁名称: Heur.AdvML.C
完整路径: f:\norton样本\sonar漏检\临时收集\家用辅助.exe
____________________________

详细信息
未知的社区使用情况, 未知的文件存在时间, 风险高

原始
下载自
未知

活动
已执行的操作: 已执行的操作: 1
____________________________

在电脑上的创建时间
不可用

上次使用时间
2017-2-16 ( 14:53:12 )

启动项目
否

已启动
否
____________________________

未知
诺顿社区中使用了此文件的用户数未知。

未知
此文件版本当前未知。

高
此文件具有高风险。

威胁类型: 启发式病毒。根据恶意软件启发式技术检测威胁。
____________________________

来源: 外部介质
____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ 家用辅助.exe 已删除
____________________________

文件指纹 - SHA:
4e79d7e95cbd8f3b51d2a74d9656438cadaddae55b09c0bda161d4ef0caa05a6
文件指纹 - MD5:
不可用

修改MD5后扫描双击都过诺顿！

[病毒样本] 换汤不换药的锁MBR（附分析过程）

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源