下載TDSS ，破壞 快捷文件，隱藏所有文件

zhousulin5

2011-10-31 10:16:00    修改文件    允许
进程: d:\specimen\calc.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序]?:\*\* -> [文件]\device\namedpipe\router

2011-10-31 10:16:01    修改文件    允许
进程: d:\specimen\calc.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序]?:\*\* -> [文件]\device\namedpipe\router

2011-10-31 10:16:04    修改注册表值    允许
进程: d:\specimen\calc.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序]?:\*\* -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*

2011-10-31 10:16:40    修改文件    允许
进程: d:\specimen\calc.exe
目标: D:\specimen\calc.exe
规则: [应用程序]?:\*\* -> [文件]d:\specimen\*; *.exe

2011-10-31 10:16:40    修改注册表值    阻止
进程: d:\specimen\calc.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\user\LOCALS~1\Temp\P1kAlMiG2Kb7Fz.exe.tmp
规则: [应用程序]?:\*\* -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations
(至此，calc.exe进程自动终止）

2011-10-31 10:27:43    修改文件    允许
进程: d:\specimen\6dss92c31apgjk.exe
目标: D:\specimen\6DSS92c31Apgjk.exe
规则: [应用程序]?:\*\* -> [文件]d:\specimen\*; *.exe

2011-10-31 10:27:43    创建文件    阻止并结束进程
进程: d:\specimen\6dss92c31apgjk.exe
目标: C:\Documents and Settings\All Users\Application Data\ewXqnNRWW.exe
规则: [应用程序]?:\*\* -> [文件组]陷阱-常见异常文件


2011-10-31 10:30:00    修改文件    允许
进程: d:\specimen\485.tmp.exe
目标: D:\specimen\485.tmp.exe
规则: [应用程序]?:\*\* -> [文件]d:\specimen\*; *.exe

2011-10-31 10:30:04    创建新进程    允许
进程: d:\specimen\485.tmp.exe
目标: c:\documents and settings\user\local settings\temp\flashupdate.exe
命令行: "C:\DOCUME~1\user\LOCALS~1\Temp\flashupdate.exe" C:\DOCUME~1\user\LOCALS~1\Temp\3.tmp
规则: [应用程序]* -> [子应用程序]?:\*\*.exe

2011-10-31 10:30:11    修改注册表值    阻止
进程: c:\documents and settings\user\local settings\temp\flashupdate.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\user\LOCALS~1\Temp\4.tmp
规则: [应用程序]?:\*\* -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations
（日志重复N次，进程自动终止，未检测系统是否受损）


2011-10-31 10:38:05    修改文件    允许
进程: d:\specimen\486.tmp.exe
目标: D:\specimen\486.tmp.exe
规则: [应用程序]?:\*\* -> [文件]d:\specimen\*; *.exe

2011-10-31 10:38:09    创建新进程    允许
进程: d:\specimen\486.tmp.exe
目标: c:\documents and settings\user\local settings\temp\flashupdate.exe
命令行: "C:\DOCUME~1\user\LOCALS~1\Temp\flashupdate.exe" C:\DOCUME~1\user\LOCALS~1\Temp\C.tmp
规则: [应用程序]* -> [子应用程序]?:\*\*.exe

2011-10-31 10:38:16    修改注册表值    阻止
进程: c:\documents and settings\user\local settings\temp\flashupdate.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\user\LOCALS~1\Temp\D.tmp
规则: [应用程序]?:\*\* -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations
（日志重复N次，进程自动终止，未检测系统是否受损）


重启虚拟机系统，顺利进入桌面，过程中无明显异常。用MD和Xuetr粗略查看了一下，无明显异常，Xuetr检测MBR正常。结论，四个样本全部运行完，MD成功防御。

liulangzhecgr

zhousulin5 发表于 2011-10-31 10:19
2011-10-31 10:16:00    修改文件    允许
进程: d:\specimen\calc.exe
目标: \Device\NamedPipe\ROUTER
...

若关闭防护运行样本...会让你目瞪口呆（惊喜？！）！

zhousulin5

liulangzhecgr 发表于 2011-10-31 10:51
若关闭防护运行样本...会让你目瞪口呆（惊喜？！）！

我现在只是在测试自己的规则是不是能防御，日志是不是简单明了。样本到底有多厉害，我看了你们的贴子基本上已经知道了，我也知道自己的能力不足以修复被破坏的系统，所以，就不试了。要知道，我的虚拟机系统是xp sp2，任何补丁都没有打的，也没有组策略、没有优化服务，目的就是测试MD规则的防护是不是够严密。

liulangzhecgr

rootkit.boot.sst.a  

xiaoluo

看来论坛现在又出问题了，附件下载出错。

liulangzhecgr

xiaoluo 发表于 2011-11-1 14:30
看来论坛现在又出问题了，附件下载出错。

照这个趋势发展...以后啊令人担忧

xiaoluo

liulangzhecgr 发表于 2011-11-1 15:10
照这个趋势发展...以后啊令人担忧

是啊，多次出现了。

liulangzhecgr

xiaoluo 发表于 2011-11-1 15:11
是啊，多次出现了。

上午出现等10分钟后...的提示；下午嘛别提啦！

xljbxx

EAV禁止下载

xljbxx

EAV禁止下载