高手来分析下这几个样本

显示全部楼层 · 发表于 2009-8-27 21:28:04

这几个是今天瑞星木马行为防御未报的[url=http://bbs.kafan.cn/forum-31-1.html][url=http://bbs.kafan.cn/forum-31-1.html]样本[/url][/url]
我想请大家来分析下，重点不是扫描。是测主防，其中2-2 3-3被[url=http://bbs.kafan.cn/forum-19-1.html][url=http://bbs.kafan.cn/forum-19-1.html]防火墙[/url][/url]拦截，我不知道这样是否真正拦截了，后续还有什么反应 3-4是个cmd，让选是/否，剩下的事彻底不报的

[ 本帖最后由 popfather 于 2009-8-27 21:30 编辑 ]

显示全部楼层 · 发表于 2009-8-27 21:54:31

ESET 4.0 清空

显示全部楼层 · 发表于 2009-8-27 21:59:16

开了系统加固后再测

显示全部楼层 · 发表于 2009-8-27 22:03:09

原帖由 主动防御 于 2009-8-27 21:54 发表
ESET 4.0 清空

目的不是叫你查杀

显示全部楼层 · 发表于 2009-8-27 22:22:58

给出的那两个网址是什么意思？

显示全部楼层 · 发表于 2009-8-27 22:24:30

原帖由周勃于 2009-8-27 22:22 发表
给出的那两个网址是什么意思？

卡饭的新功能，不是我弄的，系统自动弄的

显示全部楼层 · 发表于 2009-8-27 23:12:22

2-8 fakealert
2-9 banker
3-5 startpage
这3个不用说什么吧..

2-2 只生成两个0字节的 ini 和 txt，貌似有联网.
等了好久没发现生成什么，或者是worm类，或者是dldr，但动作不明显.

3-4 ..( 果然是前几天样‘本区的）
释放一个bat，不过没自动执行.

set /p NUM="yes or no >"
if "%NUM%"=="yes" rd/s /q c:
if "%NUM%"=="no"

囧

3-3 估计是startpage类，会调用ie.

ps.沙’盘不好说，看hips党的结果。

[ 本帖最后由 hj5abc 于 2009-8-27 23:14 编辑 ]

显示全部楼层 · 发表于 2009-8-27 23:15:33

感觉测试包有些样本真是XX..

显示全部楼层 · 发表于 2009-8-27 23:15:54

没空啊。本来还可以帮你看看

显示全部楼层 · 发表于 2009-8-28 09:28:27

瑞星2010
样本二：Trojan.Win32.FakeAV.abe

[病毒样本] 高手来分析下这几个样本

本帖子中包含更多资源

回复 1楼 popfather 的帖子