对挂马者的追踪[4E6B49]

372826096

部分已经解密
没什么新东西，后面就懒得解密了
其中一个没加密情况下网马卡巴免杀
再次说明卡巴的web监控功能有待加强
全是流行的几个网马

[ 本帖最后由 promised 于 2007-7-25 22:06 编辑 ]

tracydk

ANI...算了

欠妳緈諨

一大堆脚本，AVAST不感兴趣

微点卫士

金山只报1个,费贰报7个,其中可疑程序1个以及启发2个

微点:
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\TEMP\RAR$EX02.500\对挂马者的追踪\网页代码查看器\复件 HTTPDEBUG.EXE
协议类型:TCP
本地地址:0.0.0.0
本地端口:4311
远端地址:218.5.72.49(福建·厦门)
远端端口:80
居然连到微点总部去
其他的不好测,这个复件没报

372826096

原帖由 tracydk 于 2007-7-25 21:43 发表
ANI...算了

不仅仅是ANI了
一堆的网马。。。
都是最近流行的几个
ms06014的几个变形+ms07004
后面都没解密
好像还有ms07027+ms060几几的一个和web迅雷的
懒得看了
感觉挂马者太嚣张。。。

[ 本帖最后由 372826096 于 2007-7-25 21:52 编辑 ]

hj5abc

复件是个网页代码察看器..Ani.就算了.
2007-7-25 21:47:05 IMON file http://xxtvb.cn/arp/go.exe probably a variant of Win32/PSW.Delf.NHI trojan

372826096

原帖由 微点卫士 于 2007-7-25 21:47 发表
金山只报1个,费贰报7个,其中可疑程序1个以及启发2个

微点:
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\TEMP\RAR$EX02.500\对挂马者的追踪\网页代码查看器\复件 HTTPDEBUG.EXE
协议类型:TCP
...

唉
大哥，
这个httpdebug程序是没毒的。。。
是我查网页木马的。。。
忘记删除，一起给传了

微点卫士

微点喜欢EXE文件,压缩包里好多TXT,晕死我了

promised

C:\ABC\go.exe - 特征码 'BehavesLikeWin32.ExplorerHijack' 被发现

        1 个文件被扫描
          (0 个压缩档 0 个文件)
        1 个特征码被侦测
        0 个可疑代码段被发现
        耗时: 0:00.015

372826096

原帖由 promised 于 2007-7-25 22:05 发表
C:\ABC\go.exe - 特征码 'BehavesLikeWin32.ExplorerHijack' 被发现

        1 个文件被扫描
          (0 个压缩档 0 个文件)
        1 个特征码被侦测
        0 个可疑代码段被发现
        耗时: 0:00.015

......
这个也加个MD5没什么意义吧
。。。。
单纯的扫描是没用的。。。
加个密谁都不认识了...
必须网马在执行shellcode，远程溢出时候发现，才有意义。