内存版xt.exe

a256886572008

http://cima.security.comodo.com/report/338609d6638135cf9a833e445f2c9ce4a454a522.htm

‧ Verdict
Auto Analysis Verdict
Suspicious+

‧ Description
Suspicious Actions Detected
Load system drivers

-------------------------------------
comodo 雲查殺

2011-06-29 18:20:20   c:\documents and settings\roger\桌面\virus\123\内存版xt.exe   
.Heur.Suspicious@1

zst470396853

金山KILL  360卫士未知  过卡巴

256897loi

To ESET

http://samples.nod32.com.hk/inde ... 1f4a72909c4f8ca5847

2011-6-29 18:51:08    创建新进程    允许
进程: c:\documents and settings\user\桌面\123\内存版xt.exe
目标: c:\windows\system32\winlogon.exe
命令行: winlogon.exe
规则: [应用程序]*

2011-6-29 18:51:17    修改其他进程的内存    允许
进程: c:\documents and settings\user\桌面\123\内存版xt.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序]*

2011-6-29 18:51:30    修改其他进程的线程    允许
进程: c:\documents and settings\user\桌面\123\内存版xt.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序]*

2011-6-29 18:51:34    创建文件    允许
进程: c:\windows\system32\winlogon.exe
目标: C:\WINDOWS\system32\winlogon.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2011-6-29 18:51:39    设置文件隐藏属性    阻止
进程: c:\windows\system32\winlogon.exe
目标: C:\WINDOWS\system32\winlogon.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2011-6-29 18:51:46    创建注册表项    阻止
进程: c:\windows\system32\winlogon.exe
目标: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\winlogon
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2011-6-29 18:51:48    创建注册表项    允许
进程: c:\windows\system32\winlogon.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winlogon
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2011-6-29 18:51:54    修改注册表值    允许
进程: c:\windows\system32\winlogon.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winlogon\Start
值: 0x00000001(1)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2011-6-29 18:51:59    修改注册表值    允许
进程: c:\windows\system32\winlogon.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winlogon\ImagePath
值: \??\C:\WINDOWS\system32\winlogon.sys
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2011-6-29 18:52:08    创建注册表项    阻止
进程: c:\windows\system32\winlogon.exe
目标: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot\Minimal\winlogon.sys
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\*

2011-6-29 18:52:17    创建注册表项    阻止
进程: c:\windows\system32\winlogon.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\winlogon.sys
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\*

2011-6-29 18:52:23    创建注册表项    阻止
进程: c:\windows\system32\winlogon.exe
目标: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot\Network\winlogon.sys
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\*

2011-6-29 18:52:24    创建注册表项    阻止
进程: c:\windows\system32\winlogon.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\winlogon.sys
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\*

2011-6-29 18:52:29    加载驱动程序    阻止
进程: c:\windows\system32\winlogon.exe
目标: c:\windows\system32\winlogon.sys
规则: [应用程序]c:\windows\system32\winlogon.exe

IOOOOI

window7下无法加驱，和xuter的界面很像，是不是一样的？

wuyongliang

解压完微点KILL 提示发现木马

619875192

卡巴右键  PASS

dl123100

256897loi 发表于 2011-6-29 18:41
To ESET

http://samples.nod32.com.hk/index.php?a=query&lang=2&md5=6e86dd72850fc1f4a72909c4f8ca5847 ...

驱动是XueTr自带的 没有问题

留侯

大蜘蛛clean，文件加了壳？：
=C4=DA=B4=E6=B0=E6XT.exe packed by UPX
=C4=DA=B4=E6=B0=E6XT.exe packed by BINARYRES
=C4=DA=B4=E6=B0=E6XT.exe - archive BINARYRES

=C4=DA=B4=E6=B0=E6XT.exe/data003 packed by ZLIB
=C4=DA=B4=E6=B0=E6XT.exe/data003 - archive BINARYRES
已上报！

dl123100

留侯 发表于 2011-6-29 19:59
大蜘蛛clean，文件加了壳？：
=C4=DA=B4=E6=B0=E6XT.exe packed by UPX
=C4=DA=B4=E6=B0=E6XT.exe packed ...

加了UPX 只不过是一个XueTr.exe的loader 不是病毒

dl123100

Comodo的在线分析还是少用吧 基本分析不出什么 一直乱报
这个可能是某些人打包的XueTr 用来突破网吧之类的限制 不是病毒