中华黑豹病毒

显示全部楼层 · 发表于 2010-5-17 09:02:01

本帖最后由 04m40125 于 2010-5-17 13:36 编辑

一个很搞笑的样本

上几张图

显示全部楼层 · 发表于 2010-5-17 09:09:56

McAfee kill

显示全部楼层 · 发表于 2010-5-17 09:13:47

IK
日期/时间： 2010-5-17 9:18:08
文件名： DC[1].rar
初始路径： e:\Temp\Internet 临时文件\Content.IE5\P8FR3U3N\
文件大小: 353.45 KB
病毒名： Trojan.Win32.Chifrax.a
建议：删除
特征Id: 378531

显示全部楼层 · 发表于 2010-5-17 09:23:00

本帖最后由 hddu 于 2010-5-17 09:30 编辑

2010-05-17 09:21:06 创建文件    操作:允许
进程路径:F:\virus\DC\DC.exe
文件路径:C:\GYF
触发规则:所有程序规则->全局设置->%SystemDrive%\*

2010-05-17 09:21:07 创建文件    操作:允许
进程路径:F:\virus\DC\DC.exe
文件路径:C:\GYF\1.vbs
触发规则:所有程序规则->文件创建设置_普通模式->*.vbs

2010-05-17 09:21:08 创建文件    操作:允许
进程路径:F:\virus\DC\DC.exe
文件路径:C:\GYF\3.vbs
触发规则:所有程序规则->文件创建设置_普通模式->*.vbs

2010-05-17 09:21:09 创建文件    操作:允许
进程路径:F:\virus\DC\DC.exe
文件路径:C:\GYF\0.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2010-05-17 09:21:09 创建文件    操作:允许
进程路径:F:\virus\DC\DC.exe
文件路径:C:\GYF\2.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2010-05-17 09:21:10 创建文件    操作:允许
进程路径:F:\virus\DC\DC.exe
文件路径:C:\GYF\8.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2010-05-17 09:21:11 创建文件    操作:允许
进程路径:F:\virus\DC\DC.exe
文件路径:C:\GYF\1.reg
触发规则:所有程序规则->白名单与黑名单->*\*.reg

2010-05-17 09:21:17 运行应用程序    操作:允许
进程路径:F:\virus\DC\DC.exe
文件路径:C:\WINDOWS\system32\wscript.exe
命令行:"C:\GYF\1.VBS"
触发规则:所有程序规则->系统程序设置->%windir%\system32\wscript.exe

2010-05-17 09:21:23 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\GYF\ZhuYao.bat" /start"
触发规则:应用程序规则->系统程序->%windir%\System32\svchost.exe->%windir%\system32\cmd.exe

2010-05-17 09:21:25 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\attrib.exe
命令行:C:\GYF +S +R +H
触发规则:所有程序规则->系统程序设置->*\attrib.exe

2010-05-17 09:21:30 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\regedit.exe
命令行:/s 1.reg
触发规则:所有程序规则->系统程序设置->*\regedit.exe

2010-05-17 09:21:31 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\format.com
命令行:d:/q /y
触发规则:所有程序规则->系统程序设置->*.com

2010-05-17 09:21:31 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\format.com
命令行:e:/q /y
触发规则:所有程序规则->系统程序设置->*.com

2010-05-17 09:21:31 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\format.com
命令行:f:/q /y
触发规则:所有程序规则->系统程序设置->*.com

2010-05-17 09:21:31 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\format.com
命令行:g:/q /y
触发规则:所有程序规则->系统程序设置->*.com

2010-05-17 09:21:32 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\format.com
命令行:h:/q /y
触发规则:所有程序规则->系统程序设置->*.com

2010-05-17 09:21:32 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\format.com
命令行:i:/q /y
触发规则:所有程序规则->系统程序设置->*.com

2010-05-17 09:21:32 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\format.com
命令行:j:/q /y
触发规则:所有程序规则->系统程序设置->*.com

2010-05-17 09:21:32 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\format.com
命令行:k:/q /y
触发规则:所有程序规则->系统程序设置->*.com

2010-05-17 09:21:32 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\format.com
命令行:L:/q /y
触发规则:所有程序规则->系统程序设置->*.com

2010-05-17 09:21:32 删除文件    操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\gpedit.msc
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->%windir%\*

显示全部楼层 · 发表于 2010-5-17 09:53:31

毛豆kill~~

显示全部楼层 · 发表于 2010-5-17 10:38:52

金山 Kill

显示全部楼层 · 发表于 2010-5-17 13:16:46

熊猫云没有报。

显示全部楼层 · 发表于 2010-5-17 13:41:23

生成物

主要行为

显示全部楼层 · 发表于 2010-5-17 14:00:01

很牛，不敢试

显示全部楼层 · 发表于 2010-5-17 14:04:52

to eset

http://samples.nod32.com.hk/inde ... d718ccff050282b8796

生成物
http://samples.nod32.com.hk/inde ... b35295c97ebec3bb997

[病毒样本] 中华黑豹病毒

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源