一个可疑的木马/流氓软件

275751198

点一楼的链接下载了完整文件http://ishare.iask.sina.com.cn/f/22180403.html
一楼说的很对，标榜教程资料，结果下载来是exe格式压缩包。
在360沙箱里点开，然后就是有动作的是调用cmd.exe显示如果360安全卫士拦击请允许，哇，考虑周全，顶一个
然后有创建update.exe  systems.exe  brsplus.exe
给个亮相
然后前两个都写入启动项了，后一个可能是是个软件
再在后面就是windows防火墙提示是否允许联网update.exe  允许or取消
我点取消，结果联网了，
无敌联网，疯狂下载，虽然最后不也不知道下载了什么东西，但是下载器update.exe  无疑
360网络连接查看器









windows清理助手日志
----------------------------------------------------
3.1.4.10.1212 - 3.0.305.12.0207(2453) - 305
2012-02-13 15:43:56
----------------------------------------------------

[7FFFFFF3 - 可疑对象]
F:\??\C:\Windows\SxIn.dll (Delete File)

[0000041A - 91Cast]
HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\UPDATE (Delete RegValue)

update.exe样本下载http://storage.bbs.qhimg.com/fil ... a08fe976f96bd71.rar
system.exe下载
brsplus.exe下载

275751198

jayavira 发表于 2012-2-13 14:48
运行了5分钟，没有任何行为
反沙盘吗？

报告，可能是因为楼主的样本只是一部分，见21楼回复，谢谢

jayavira

275751198 发表于 2012-2-13 16:30
报告，可能是因为楼主的样本只是一部分，见21楼回复，谢谢

嗯
也是有这种功能
谢谢你的分析

wuyongliang

运行毛豆报了  毒霸鉴定为已知安全文件

kxmp

XaNdOrA AnAlYzInG
http://www.xandora.net/xangui/ma ... fa93880d932eed7d0cd
http://www.xandora.net/xangui/ma ... fa93880d932eed7d0cd

systems.exe修改注册表

1.    Key: [ HKLM\SYSTEM\CURRENTCONTROLSET\HARDWARE PROFILES\CURRENT\Software\Microsoft\windows\CurrentVersion\Internet Settings ],
   
2.              Value Name: [ ProxyEnable ], New Value: [ 1 ]
   
3.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders ],
   
4.              Value Name: [ Common AppData ], New Value: [ C:\Documents and Settings\All Users\Application Data ]
   
5.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths ],
   
6.              Value Name: [ Directory ], New Value: [ C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5 ]
   
7.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths ],
   
8.              Value Name: [ Paths ], New Value: [ 4 ]
   
9.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Path1 ],
   
10.              Value Name: [ CacheLimit ], New Value: [ 40852 ]
    
11.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Path1 ],
    
12.              Value Name: [ CachePath ], New Value: [ C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Cache1 ]
    
13.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Path2 ],
    
14.              Value Name: [ CacheLimit ], New Value: [ 40852 ]
    
15.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Path2 ],
    
16.              Value Name: [ CachePath ], New Value: [ C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Cache2 ]
    
17.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Path3 ],
    
18.              Value Name: [ CacheLimit ], New Value: [ 40852 ]
    
19.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Path3 ],
    
20.              Value Name: [ CachePath ], New Value: [ C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Cache3 ]
    
21.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Path4 ],
    
22.              Value Name: [ CacheLimit ], New Value: [ 40852 ]
    
23.         Key: [ HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Path4 ],
    
24.              Value Name: [ CachePath ], New Value: [ C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Cache4 ]
    
25.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders ],
    
26.              Value Name: [ AppData ], New Value: [ C:\Documents and Settings\Administrator\Application Data ]
    
27.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders ],
    
28.              Value Name: [ Cache ], New Value: [ C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files ]
    
29.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders ],
    
30.              Value Name: [ Cookies ], New Value: [ C:\Documents and Settings\Administrator\Cookies ]
    
31.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders ],
    
32.              Value Name: [ History ], New Value: [ C:\Documents and Settings\Administrator\Local Settings\History ]
    
33.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings ],
    
34.              Value Name: [ ProxyEnable ], New Value: [ 1 ]
    
35.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings ],
    
36.              Value Name: [ ProxyServer ], New Value: [ http=127.0.0.1:59998 ]
    
37.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\Run ],
    
38.              Value Name: [ mHttpFilter ], New Value: [ C:\systems.ex.exe ]
    
39.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\windows\CurrentVersion\Internet Settings ],
    
40.              Value Name: [ MigrateProxy ], New Value: [ 1 ]
    
41.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\windows\CurrentVersion\Internet Settings ],
    
42.              Value Name: [ ProxyEnable ], New Value: [ 1 ]
    
43.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\windows\CurrentVersion\Internet Settings ],
    
44.              Value Name: [ ProxyServer ], New Value: [ http=127.0.0.1:59998 ]
    
45.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\windows\CurrentVersion\Internet Settings\Connections ],
    
46.              Value Name: [ DefaultConnectionSettings ], New Value: [ 0x3c000000040000000300000014000000687474703d3132372e302e302e31 ]
    
47.         Key: [ HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\windows\CurrentVersion\Internet Settings\Connections ],
    
48.              Value Name: [ SavedLegacySettings ], New Value: [ 0x3c000000180000000300000014000000687474703d3132372e302e302e31 ]
    

复制代码

saga3721

运行红伞杀“TR/Spy.16384.926”

-oAo-

未知

keypress

谢谢各位关注，那个文件是我不当心点的，而下载链接是一个朋友给的，他怀疑有人散毒，但我的电脑也没扛住，最可恨的是流氓软件暂停了McAfee服务以便自身的运行，这点如果被其它病毒学会了可不得了。

注：1．在测试样本时防护开到最高级别，本来应该不会中招的，结果没拦住。可能是RP问题。
2．测试时忘记使用沙箱了，因为当时用7zip查看exe文件内部，结果不当心在7zip窗口中双击了样本文件，杯具了。
3．中招后样本文件各组件频繁联网，被安装的防火墙悉数拦截，而后进入安全模式手工去除了所有组件，没有后遗症，故样本文件是恶意程序而非病毒的可能性更大一些。