有爭議的樣本

a256886572008

keiz 发表于 2011-6-30 21:47
問題是他只有下載這個動作嗎  還是有其他的

樓主的樣本，主要依靠這個程序做下載器。

他的行為如下，雖然阻止，還是能正常下載東西。

還有，這個文件的熱度好像比一般的病毒還要高，不知道是不是金山的用戶直接把它給信任了？

2011-06-30 17:03:36   C:\Program Files\Common Files\DcomServer\DcomServer.exe   Sandboxed As   Partially Limited   

2011-06-30 17:03:42   C:\VritualRoot\Setup.exe\HarddiskVolume1\Program Files\Common Files\DcomServer\DcomServer.exe   Modify Key   HKLM\SYSTEM\ControlSet001\Services\DcomService   

2011-06-30 17:03:42   C:\VritualRoot\Setup.exe\HarddiskVolume1\Program Files\Common Files\DcomServer\DcomServer.exe   Access COM Interface   C:\WINDOWS\system32\svchost.exe   

2011-06-30 17:03:42   C:\VritualRoot\Setup.exe\HarddiskVolume1\Program Files\Common Files\DcomServer\DcomServer.exe   Direct Disk Access   PhysicalDrive0   

2011-06-30 17:03:42   C:\VritualRoot\Setup.exe\HarddiskVolume1\Program Files\Common Files\DcomServer\DcomServer.exe   Access Memory   C:\WINDOWS\explorer.exe   

2011-06-30 17:03:58   C:\VritualRoot\Setup.exe\HarddiskVolume1\Program Files\Common Files\DcomServer\DcomServer.exe   Access COM Interface   Shell.Explorer.2   

hzqedison

leisong 发表于 2011-6-30 21:33
25日的38号样本，http://u.115.com/file/e6u3ah9l

我搞错了，释放了另一个下载器有金山数字签名，下 ...

这个渠道推广我们已经查到是哪个合作方的毒霸包，我们已经停止和他的合作。

以后有静默下载毒霸偷偷装上的，及时给我样本，谢谢！