高质量，Trojan-PWS.Win32.Zbot, 金山转人工

显示全部楼层 · 发表于 2011-9-23 07:33:56

显示全部楼层 · 发表于 2011-9-23 07:37:54

显示全部楼层 · 发表于 2011-9-23 07:45:53

ZBot是啥意思？！

显示全部楼层 · 发表于 2011-9-23 07:49:48

本帖最后由 saga3721 于 2011-9-23 07:52 编辑

启动winlogon并注入，然后作为explorer的子进程并以之调用explorer出站
OP这点不错，即使放任explorer被注入如果不符合防火墙的explorer出站规则一样会弹框提示

显示全部楼层 · 发表于 2011-9-23 08:05:19

360

2011-09-23 08:04:02 发现安全威胁恶意程序(Malware.QVM18.Gen) 已删除此文件，如果您发现误删，可从隔离区恢复此文件。 D:\DOWNLOAD\1.exe

显示全部楼层 · 发表于 2011-9-23 08:50:17

BitDefender
1.exe Trojan.Generic.KD.362929

显示全部楼层 · 发表于 2011-9-23 09:17:34

实机测试。，。。。。。
金山卫士报未知。。。。。。。。。
过微点扫描。。。。。。。。。
过红伞扫描。。。。。。。。。
双击测试。。。。。。。。。。。
继续过红伞。。。。。。。。。。。
程序运行大约10多秒的样子的时候。弹出应用程序错误。。。。。。。。。。。。主防立刻秒杀。。。。。。。。。

显示全部楼层 · 发表于 2011-9-23 10:01:00

文件加了壳，大蜘蛛：
1.exe packed by UPX
1.exe infected with BackDoor.IRC.NgrBot.42

显示全部楼层 · 发表于 2011-9-23 10:02:01

汗，过卡巴，过超级巡警，过金山，强悍的木马

[病毒样本] 高质量，Trojan-PWS.Win32.Zbot, 金山转人工