带数字签名的熊猫烧香

显示全部楼层 · 发表于 2010-11-20 23:00:27

本帖最后由 ikimi 于 2010-11-20 23:39 编辑

终于弄清了如何在未得到私钥的情况下，将所谓的窃取数字证书置于PE文件了

包包里的为熊猫烧香样本，勿运行，否则杯具

剥离数字证书，几乎所有厂商的扫描皆可发现，不过样本因带数字签名，部分杀软无视了

P.S. 诺顿个人版无视（含SONAR3），不过Norton Power Eraser没问题

P.S.2 不解的是，未运行样本，样本未在系统扎根，缘何NPE还要重启才能清除，重启前，文件还被锁定了

样本包密码：virus

P.S.3 偶知道样本具有有效数字证书，不过无有效数字签名，此贴讨论的重点在于帖子第一句话和http://bbs.kafan.cn/forum-redirect-goto-findpost-ptid-846811-pid-16059033-fromuid-402968.html

显示全部楼层 · 发表于 2010-11-20 23:05:29

不敢试

显示全部楼层 · 发表于 2010-11-20 23:05:46

跟楼主同样装备就不试了

显示全部楼层 · 发表于 2010-11-20 23:05:59

本帖最后由 ring0biao 于 2010-11-20 23:06 编辑

带数字的、企鹅的数字签名……看来又有得水了

显示全部楼层 · 发表于 2010-11-20 23:06:16

Kingsoft Preview missed.
BDV missed.

显示全部楼层 · 发表于 2010-11-20 23:08:02

带我的签名也照样无压力

显示全部楼层 · 发表于 2010-11-20 23:08:11

瑞星解压后就杀了，为了这个我在虚拟机里测试的，更别说运行了。

显示全部楼层 · 发表于 2010-11-20 23:09:20

Starting the file scan:

Begin scan in 'E:\virus test\haha\Panda0.exe'
E:\virus test\haha\
Panda0.exe
[DETECTION] Is the TR/ATRAPS.Gen Trojan
Begin scan in 'E:\virus test\haha\Panda1.exe'
E:\virus test\haha\
Panda1.exe
[DETECTION] Is the TR/ATRAPS.Gen Trojan

显示全部楼层 · 发表于 2010-11-20 23:09:48

本帖最后由 hansyu 于 2010-11-20 23:10 编辑

panda清空
Generic Trojan 1x
启发 1x to xandora

显示全部楼层 · 发表于 2010-11-20 23:11:21

本帖最后由 Hey 于 2010-11-20 23:16 编辑

楼主out了这种伪造数字签名是无法通过有效性验证的这样的样本N年前就出现了

[病毒样本] 带数字签名的熊猫烧香

评分

评分