一个后门木马样本，过卡巴斯基等杀毒巨头。

308866814

刚才测试了下卡巴斯基的主防，主防没反应，但是启发式倒是起作用了。heuristic

梦到内河

诺顿秒杀。

yjwfdc

2011/9/26 16:24:23    创建注册表项    阻止
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\ZiPU8MBG
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

2011/9/26 16:24:23    创建注册表项    阻止
进程: c:\users\pydn\appdata\local\temp\rar$ex65.953\41线交易地点.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ZiPU8MBG
规则: [注册表组]r080_服务 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

2011/9/26 16:24:24    创建注册表项    阻止
进程: c:\users\pydn\appdata\local\temp\rar$ex65.953\41线交易地点.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\ZiPU8MBG
规则: [注册表组]r080_服务 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

2011/9/26 16:24:25    创建注册表项    阻止
进程: c:\users\pydn\appdata\local\temp\rar$ex65.953\41线交易地点.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ZiPU8MBG\Parameters
规则: [注册表]*

2011/9/26 16:24:25    创建注册表项    阻止
进程: c:\users\pydn\appdata\local\temp\rar$ex65.953\41线交易地点.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\ZiPU8MBG
规则: [注册表组]r080_服务 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

2011/9/26 16:24:27    创建文件    阻止
进程: c:\users\pydn\appdata\local\temp\rar$ex65.953\41线交易地点.exe
目标: C:\Windows\system32\fhmETL.pic
规则: [文件]c:\windows\*

2011/9/26 16:24:28    修改注册表值    阻止
进程: c:\users\pydn\appdata\local\temp\rar$ex65.953\41线交易地点.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\BITS\Mypath
值: C:\Users\pydn\AppData\Local\Temp\Rar$EX65.953\41线交易地点.exe
规则: [注册表组]r000_病毒生成物名单 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\BITS; Mypath

2011/9/26 16:24:29    创建注册表项    阻止
进程: c:\users\pydn\appdata\local\temp\rar$ex65.953\41线交易地点.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ZiPU8MBG
规则: [注册表组]r080_服务 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

2011/9/26 16:24:30    创建注册表项    阻止
进程: c:\users\pydn\appdata\local\temp\rar$ex65.953\41线交易地点.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\ZiPU8MBG
规则: [注册表组]r080_服务 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

245867683

小墙头 发表于 2011-9-25 18:44
双击后瑞星无任何反映。。。进程在任务管理器里停留了几秒后消失？！歇菜了。等着宣判了

看来墙还是有必要滴

04huang

360kill.

5086

过mse，还好被hips给拦截了

小墙头

245867683 发表于 2011-9-26 16:53
看来墙还是有必要滴

我用的是全功能。有墙的。当天试毒的时候没有弹窗口（很奇怪，按理说有联网应该会弹）。。日志里显示是后台自动处理了木马~E盘的一些无关紧要的数据还是没保住。。。之后样本上报了。。你今天试应该是能弹窗了。

schumi小粉

wqcaokeyinwq 发表于 2011-9-25 20:21
看我的截图。。。。
明明没有过微点。。。
。。。。。。。。

尊敬的用户，您好！
    您的邮件已经收到，感谢您及时联系微点客户服务人员！
  
   
    文件名称： 41线交易地点.exe                                   
    病毒名称： Backdoor.Win32.Agent   
   
   请等待微点的更新，感谢您的反馈。

schumi小粉

wqcaokeyinwq 发表于 2011-9-25 20:21
看我的截图。。。。
明明没有过微点。。。
。。。。。。。。

尊敬的用户，您好！
    您的邮件已经收到，感谢您及时联系微点客户服务人员！
  
   
    文件名称： 41线交易地点.exe                                   
    病毒名称： Backdoor.Win32.Agent   
   
   请等待微点的更新，感谢您的反馈。

evilbat123

avira miss