一个很强的后门程序。过绝大多数杀软！

256897loi

缺文件?

prawnliu

256897loi 发表于 2011-9-30 18:15
缺文件?

看着窗口那么别扭呢……
什么运行环境？

619875192

全部过卡巴

prawnliu

619875192 发表于 2011-9-30 18:17
全部过卡巴

上报吧～～～

256897loi

prawnliu 发表于 2011-9-30 18:16
看着窗口那么别扭呢……
什么运行环境？

在线沙盘..啥系统不知
Threatexpert Anubis上结果相同

prawnliu

256897loi 发表于 2011-9-30 18:20
在线沙盘..啥系统不知
Threatexpert Anubis上结果相同

不是很清楚～但看这个弹出框的样子很像在Linux下运行Wine的窗口
加服务项的东西未必能运行完整
建议还是本地搭建虚拟机环境进行测试

256897loi

prawnliu 发表于 2011-9-30 18:24
不是很清楚～但看这个弹出框的样子很像在Linux下运行Wine的窗口
加服务项的东西未必能运行完整
建议还是 ...

好啊,我开虚拟机去..

256897loi

You are right.

2011-9-30 18:34:03    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\user\桌面\直接运行文件夹中的server_exe程序进行测试\直接运行文件夹中的server_exe程序进行测试\server.exe
命令行: "C:\Documents and Settings\user\桌面\直接运行文件夹中的Server_exe程序进行测试\直接运行文件夹中的Server_exe程序进行测试\Server.exe"
规则: [应用程序]c:\windows\explorer.exe

2011-9-30 18:34:12    安装驱动程序或服务    允许
进程: c:\documents and settings\user\桌面\直接运行文件夹中的server_exe程序进行测试\直接运行文件夹中的server_exe程序进行测试\server.exe
目标: NetOffice
文件路径: C:\Documents and Settings\user\桌面\直接运行文件夹中的Server_exe程序进行测试\直接运行文件夹中的Server_exe程序进行测试\Server.exe -server
规则: [应用程序组]『询问』病毒测试

2011-9-30 18:34:16    创建注册表项    阻止
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetOffice
规则: [应用程序]c:\windows\system32\services.exe -> [注册表组]系统服务 -> [注册表]*\SYSTEM\*Controlset*\Services

2011-9-30 18:34:21    访问网络    允许
进程: c:\documents and settings\user\桌面\直接运行文件夹中的server_exe程序进行测试\直接运行文件夹中的server_exe程序进行测试\server.exe
目标: UDP [本机 : 1026] ->  [222.216.30.119 : 9511]
规则: [应用程序组]『询问』病毒测试 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

evilrabbit

其实过了 VT扫描并不说明的什么的，不知道VT上的扫描引擎，会不会调用杀软自带的启发引擎。

jefffire

evilrabbit 发表于 2011-9-30 20:57
其实过了 VT扫描并不说明的什么的，不知道VT上的扫描引擎，会不会调用杀软自带的启发引擎。

会，但是不是高启发就不知道了