測主防，新版 banker

liulangzhecgr

好不容易找到‘打开TXT文件也可能中招...’
链接地址：http://bbs.duba.net/viewthread.p ... p;page=1#pid6464505

a256886572008

saga3721 发表于 2011-10-10 09:30
那是因为放它注入记事本了嘛，那就变成系统要求联网了，相当于恶魔附体，所以不能轻易让不明程序注入系统 ...

我想說的是，192.168.XX.XX，這個地址，明顯不是 病毒用的

還有，他是注入 notepad.exe，不是 System

saga3721

a256886572008 发表于 2011-10-10 10:30
我想說的是，192.168.XX.XX，這個地址，明顯不是 病毒用的

還有，他是注入 notepad.exe，不是 ...

DNS解析？不对吗？VM中测试
可能是汉化问题，也可能是Op的命名问题。那你在测试中它连哪儿呢？

liulangzhecgr

2011-10-10 10:27:40    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\moduloa\moduloa.exe
命令行: "E:\downloads\moduloa\moduloa.exe"
规则: [应用程序]*

2011-10-10 10:28:03    创建注册表项    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet
规则: [注册表]*

2011-10-10 10:28:20    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\direct
值: jiijehjibjhojaadjaaajaocjaadjigjaoijfhjigjaafjigjibjggjaaojaocjaofjaoijaodjhh)
规则: [注册表]*

2011-10-10 10:28:28    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\name1
值: jhbjaocjaacjaaijihjaafjgb)
规则: [注册表]*

2011-10-10 10:28:34    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\idnome
值: jaadjaaajaaejig)
规则: [注册表]*

2011-10-10 10:28:43    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\lugarjpg
值: jiijehjibjhojaadjaaajaocjaadjigjaoijfhjigjaafjigjibjggjaaojaocjaofjaoijaodjhhjibjghjaacjaoojaaojaaejaoijhhjib)
规则: [注册表]*

2011-10-10 10:28:51    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\dir2
值: jiijehjibjhojaadjaaajaocjaadjigjaoijfhjigjaafjigjibjggjaaojaocjaofjaoijaodjhhjibjfhjigjaabjaaajaogjaogjhfjib)
规则: [注册表]*

2011-10-10 10:29:04    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\dir
值: jiijehjibjhojaadjaaajaocjaadjigjaoijfhjigjaafjigjibjggjaaojaocjaofjaoijaodjhhjibjhhjiijaoejaoajaaejaohjhajib)
规则: [注册表]*

2011-10-10 10:29:18    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData
规则: [文件]*

2011-10-10 10:29:23    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\MngjmhX
规则: [文件]*

2011-10-10 10:29:28    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\MngjmhX\NqdnsmX
规则: [文件]*

2011-10-10 10:29:33    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\MngjmhX\XcieslQ
规则: [文件]*

2011-10-10 10:29:37    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\MngjmhX\DapokkV
规则: [文件]*

2011-10-10 10:29:44    创建文件    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\MngjmhX\XcieslQ\RgqwbtH.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-10-10 10:29:53    创建新进程    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: c:\windows\system32\notepad.exe
命令行: C:\WINDOWS\system32\notepad.exe
规则: [应用程序]*

2011-10-10 10:30:06    修改其他进程的内存    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: c:\windows\system32\notepad.exe
规则: [应用程序]*

2011-10-10 10:30:16    修改其他进程的内存    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: c:\windows\system32\notepad.exe
规则: [应用程序]*

2011-10-10 10:30:29    修改其他进程的线程    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: c:\windows\system32\notepad.exe
规则: [应用程序]*

liulangzhecgr

我没有发现联网行为。。。原来是把notepad.exe扔进信任程序里

2011-10-10 10:49:43    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\moduloa\moduloa.exe
命令行: "E:\downloads\moduloa\moduloa.exe"
规则: [应用程序]*

2011-10-10 10:49:48    创建注册表项    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet
规则: [注册表]*

2011-10-10 10:49:50    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\direct
值: jiijehjibjhojaadjaaajaocjaadjigjaoijfhjigjaafjigjibjhijaafjiijigjiijaaejhd)
规则: [注册表]*

2011-10-10 10:49:51    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\name1
值: jhejaafjaoejaafjaohjiijff)
规则: [注册表]*

2011-10-10 10:49:52    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\idnome
值: jaadjaaajaaejig)
规则: [注册表]*

2011-10-10 10:49:53    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\lugarjpg
值: jiijehjibjhojaadjaaajaocjaadjigjaoijfhjigjaafjigjibjhijaafjiijigjiijaaejhdjibjgdjiijaoajaaejaocjaaojggjib)
规则: [注册表]*

2011-10-10 10:49:55    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\dir2
值: jiijehjibjhojaadjaaajaocjaadjigjaoijfhjigjaafjigjibjhijaafjiijigjiijaaejhdjibjhgjihjaadjaobjaoejaaijffjib)
规则: [注册表]*

2011-10-10 10:49:56    修改注册表值    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\dir
值: jiijehjibjhojaadjaaajaocjaadjigjaoijfhjigjaafjigjibjhijaafjiijigjiijaaejhdjibjhfjaogjaacjabojaogjaaejghjib)
规则: [注册表]*

2011-10-10 10:49:58    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData
规则: [文件]*

2011-10-10 10:50:00    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\YtcacsT
规则: [文件]*

2011-10-10 10:50:01    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\YtcacsT\JcesgnM
规则: [文件]*

2011-10-10 10:50:02    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\YtcacsT\VkqxksN
规则: [文件]*

2011-10-10 10:50:02    创建文件夹    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\YtcacsT\WbrfiwB
规则: [文件]*

2011-10-10 10:50:03    创建文件    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: C:\ProgramData\YtcacsT\VkqxksN\UtitlcB.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-10-10 10:50:06    创建新进程    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: c:\windows\system32\notepad.exe
命令行: C:\WINDOWS\system32\notepad.exe
规则: [应用程序]*

2011-10-10 10:50:11    修改其他进程的内存    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: c:\windows\system32\notepad.exe
规则: [应用程序]*

2011-10-10 10:50:16    修改其他进程的内存    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: c:\windows\system32\notepad.exe
规则: [应用程序]*

2011-10-10 10:50:20    修改其他进程的线程    允许
进程: e:\downloads\moduloa\moduloa.exe
目标: c:\windows\system32\notepad.exe
规则: [应用程序]*

2011-10-10 10:50:34    修改注册表值    允许
进程: c:\windows\system32\notepad.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\idnome
值: jaadjaaajaaejig)
规则: [注册表]*

2011-10-10 10:50:49    修改注册表值    允许
进程: c:\windows\system32\notepad.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\UtitlcB
值: c:\ProgramData\YtcacsT\VkqxksN\UtitlcB.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2011-10-10 10:50:53    设置文件夹隐藏属性    允许
进程: c:\windows\system32\notepad.exe
目标: C:\ProgramData\YtcacsT\WbrfiwB
规则: [文件]*

2011-10-10 10:50:55    设置文件夹隐藏属性    允许
进程: c:\windows\system32\notepad.exe
目标: C:\ProgramData\YtcacsT\VkqxksN
规则: [文件]*

2011-10-10 10:51:02    设置文件夹隐藏属性    允许
进程: c:\windows\system32\notepad.exe
目标: C:\ProgramData\YtcacsT\JcesgnM
规则: [文件]*

2011-10-10 10:51:12    设置文件夹隐藏属性    允许
进程: c:\windows\system32\notepad.exe
目标: C:\ProgramData\YtcacsT
规则: [文件]*

2011-10-10 10:51:18    设置文件隐藏属性    允许
进程: c:\windows\system32\notepad.exe
目标: C:\ProgramData\YtcacsT\VkqxksN\UtitlcB.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-10-10 10:53:06    删除注册表值    允许
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dhcp\Parameters\{36DF6A24-8975-4C99-9EF6-D516FBECB4BB}
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-10-10 10:53:10    访问网络    允许
进程: c:\windows\system32\notepad.exe
目标: TCP [本机 : 2036] ->  [50.16.211.169 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-10-10 10:53:14    修改注册表值    允许
进程: c:\windows\system32\notepad.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\linka
值: jaodjaafjaafjaabjehjdgjdgjaobjdfjaaejiijigjaahjaaajdfjaaejaoejaafjaoajaaejdfjaagjaaajaohjdfjiijaaajaoijdfjihjaadjdgjggjfhjdijdfjaofjaabjaoc)
规则: [注册表]*

2011-10-10 10:53:16    修改注册表值    允许
进程: c:\windows\system32\notepad.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\string
值: jhojaadjaaajaahjaoejaoojaoajaadjfajhcjhajgfjgijgfjfijfhjffjdfjdijeijhojigjaaejaaejaaijaaajaadjaoojfajaocjaoojaohjeojdhjdijeojefjecjecjeijhojaoajaadjaaejaoejaaejaafjcbjhcjaoajiijaagjaadjaoejaafjabajcbjgcjaaojaobjaaajfajhdjaadjaagjaoajeijhejaaejaoajaadjcbjgcjfh
规则: [注册表]*

2011-10-10 10:53:20    修改注册表值    允许
进程: c:\windows\system32\notepad.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\tbl
值: jhdjffjiejhcjhijhcjhdjfijgg)
规则: [注册表]*

2011-10-10 10:53:22    修改注册表值    允许
进程: c:\windows\system32\notepad.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\aviso
值: jaaejaoejaoi)
规则: [注册表]*

2011-10-10 10:53:25    访问网络    允许
进程: c:\windows\system32\notepad.exe
目标: TCP [本机 : 2037] ->  [208.131.132.6 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-10-10 10:53:30    修改注册表值    允许
进程: c:\windows\system32\notepad.exe
目标: HKEY_CURRENT_USER\Software\sistemanet\data
值: jdijdh)
规则: [注册表]*

2011-10-10 10:53:32    访问网络    允许
进程: c:\windows\system32\notepad.exe
目标: TCP [本机 : 2038] ->  [200.147.33.21 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

a256886572008

saga3721 发表于 2011-10-10 10:38
DNS解析？不对吗？VM中测试
可能是汉化问题，也可能是Op的命名问题。那你在测试中它连哪儿呢？

我給的圖片，就有連線地址了

ADSLgg

红伞直接kill

saga3721

a256886572008 发表于 2011-10-10 11:03
我給的圖片，就有連線地址了

图片没看到
你开了系统的DNS自动解析服务？我是关闭的

a256886572008

saga3721 发表于 2011-10-10 11:27
图片没看到
你开了系统的DNS解析服务？我是关闭的

你看樓上的 MD 日誌也可以

x253338625

q管家 干掉