Zbot 2×

显示全部楼层 · 发表于 2011-12-7 10:08:27

另一个还没入库

显示全部楼层 · 发表于 2011-12-7 10:14:03

liulangzhecgr 发表于 2011-12-7 08:30
行为很多...

2011-12-7 07:49:47 修改其他进程的内存允许

创建好多这种注册表··

这是些啥啊··

2011-12-7 10:10:44 创建注册表项阻止
进程: d:\my documents\downloads\compressed\zbot\zeus_binary_3e413602075defb5ecbde57f5e9ee5c1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Weaket
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-12-7 10:10:45 创建注册表项阻止
进程: d:\my documents\downloads\compressed\zbot\zeus_binary_3e413602075defb5ecbde57f5e9ee5c1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Taoba
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-12-7 10:10:46 创建注册表项阻止
进程: d:\my documents\downloads\compressed\zbot\zeus_binary_3e413602075defb5ecbde57f5e9ee5c1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Efac
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-12-7 10:10:48 创建注册表项阻止
进程: d:\my documents\downloads\compressed\zbot\zeus_binary_3e413602075defb5ecbde57f5e9ee5c1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Aqugot
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-12-7 10:10:49 创建注册表项阻止
进程: d:\my documents\downloads\compressed\zbot\zeus_binary_3e413602075defb5ecbde57f5e9ee5c1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Uwefbu
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-12-7 10:10:50 创建注册表项阻止
进程: d:\my documents\downloads\compressed\zbot\zeus_binary_3e413602075defb5ecbde57f5e9ee5c1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Duype
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-12-7 10:10:51 创建注册表项阻止
进程: d:\my documents\downloads\compressed\zbot\zeus_binary_3e413602075defb5ecbde57f5e9ee5c1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Upox
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-12-7 10:10:52 创建注册表项阻止
进程: d:\my documents\downloads\compressed\zbot\zeus_binary_3e413602075defb5ecbde57f5e9ee5c1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Hioh
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

显示全部楼层 · 发表于 2011-12-7 10:26:32

大蜘蛛发现1个：
zbot\zeus_binary_382df2a286d35693fa4b1da2d3e943a4.exe - infected with BackDoor.Butirat.47
余下一个clean，文件加了壳：
Zbot\ZeuS_binary_3e413602075defb5ecbde57f5e9ee5c1.exe - packed by FLY-CODE
Zbot\ZeuS_binary_3e413602075defb5ecbde57f5e9ee5c1.exe - packed by FLY-CODE
已上报

显示全部楼层 · 发表于 2011-12-7 11:10:58

本帖最后由 liulangzhecgr 于 2011-12-7 11:11 编辑

ppy0606 发表于 2011-12-7 10:14
创建好多这种注册表··

这是些啥啊··

我回复时还继续联网弹窗呢 !...(ie,explorer,ctfmon

)

显示全部楼层 · 发表于 2011-12-7 12:49:01

liulangzhecgr 发表于 2011-12-7 11:10
我回复时还继续联网弹窗呢 !...(ie,explorer,ctfmon )

太恶心这货··

显示全部楼层 · 发表于 2011-12-7 13:44:30

小a删除一个，上报1个

显示全部楼层 · 发表于 2011-12-7 13:44:54

nis2012 刚下好压缩包就发现压缩包不见了。

显示全部楼层 · 发表于 2011-12-7 13:53:01

360杀

显示全部楼层 · 发表于 2011-12-7 15:41:21

金山毒霸2012 KILL
金山卫士 KILL
QQ电脑管家 KILL

显示全部楼层 · 发表于 2011-12-7 19:21:01

ppy0606 发表于 2011-12-7 10:14
创建好多这种注册表··

这是些啥啊··

这个不让过，病毒样本就没行为。
创建CMD反复删除自身，这种样本见多了，为了避免刷日志，我写了这样一条规则，是不是很鸡肋。。
2011/12/7 19:16:33 读文件阻止并结束进程
Process: c:\windows\system32\cmd.exe
Target: E:\中转位置\病毒测试\ZeuS_binary_3e413602075defb5ecbde57f5e9ee5c1.exe
Rule: [App Group]【系统程序】正常 -> [App]c:\windows\system32\cmd.exe -> [File]e:\中转位置\病毒测试\*

[病毒样本] Zbot 2×

本帖子中包含更多资源