INC.exe

显示全部楼层 · 发表于 2011-10-18 17:01:37

rising miss

显示全部楼层 · 发表于 2011-10-18 17:05:43

本帖最后由 cqoper 于 2011-10-18 17:08 编辑

呵呵好久没分析了本来想在熟悉下分析借用楼主病毒详细分析下，结果有点小事来不及了

INC释放，删除文件

生成两个进程路径为
MSInstallMgr.exe C:\WINDOWS\system32\MSInstallMgr.exe
MSInstallMgr.exe 进程启动 srvany.exe
srvany.exe C:\WINDOWS\system32\srvany.exe

后期启动进程：

父级进程：
路径： C:\WINDOWS\system32\svchost.exe
PID: 788
子级进程：
路径： C:\WINDOWS\system32\ping.exe
信息： TCP/IP Ping Command (Microsoft Corporation)
命令行："C:\WINDOWS\System32\ping.exe" -g no -t 1 -o http://revalati0n-startup.com:8344/ -u lfkrbrynqk -p dxbvsznnbu

远程连接地址

添加部分注册表：

HKLM\SYSTEM\ControlSet001\Services\OracleInstManager\Parameters\Application: "C:\windows\system32\MSInstallMgr.exe"

HKLM\SYSTEM\CurrentControlSet\Services\OracleInstManager\Parameters\Application: "C:\windows\system32\MSInstallMgr.exe"
HKLM\SYSTEM\ControlSet001\Services\OracleInstManager\ImagePath: "C:\Windows\system32\srvany.exe"
HKLM\SYSTEM\ControlSet001\Services\OracleInstManager\DisplayName: "OracleInstManager"
HKLM\SYSTEM\ControlSet001\Services\OracleInstManager\ObjectName: "LocalSystem"

HKLM\SYSTEM\CurrentControlSet\Services\OracleInstManager\ImagePath: "C:\Windows\system32\srvany.exe"
HKLM\SYSTEM\CurrentControlSet\Services\OracleInstManager\DisplayName: "OracleInstManager"
HKLM\SYSTEM\CurrentControlSet\Services\OracleInstManager\ObjectName: "LocalSystem"

显示全部楼层 · 发表于 2011-10-18 17:21:08

FS Kill

显示全部楼层 · 发表于 2011-10-18 17:52:51

cis kill

显示全部楼层 · 发表于 2011-10-18 19:35:10

360报木马

显示全部楼层 · 发表于 2011-10-18 19:52:35

NIS12没反映。

显示全部楼层 · 发表于 2011-10-18 22:07:48

大蜘蛛clean，文件加了壳：
INC.exe - packed by UPX
INC.exe is AUTOIT container
INC.exe\Users\nkun\AppData\Local\Temp\aut7DC6.tmp - packed by ASCRIPT
INC.exe\Development\Hangame\Packaging\MSInstallMgr.exex is BINARYRES container
INC.exe\Development\Hangame\Packaging\MSInstallMgr.exex\data001 is HTML container
INC.exe - container
已上报

显示全部楼层 · 发表于 2011-10-19 00:18:24

本帖最后由 hx1997 于 2011-10-19 00:18 编辑

Twister

C:\Documents and Settings\Administrator\桌面\INC.rar>>INC.exe TrojanDrop.Ghaemo.A.shzz.arc 木马还未处理

显示全部楼层 · 发表于 2011-10-21 16:25:23

MSE 路过了

[病毒样本] INC.exe

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块