两个过360主防的病毒（高毒，千万不要实机测试）

显示全部楼层 · 发表于 2012-3-5 19:12:34

hx1997 发表于 2012-3-5 19:05
很明显 MYINS.exe 加了壳... 看起来像 MoleBox 的节名...

应该是被误报之后免杀的结果吧

显示全部楼层 · 发表于 2012-3-5 19:15:17

bbmcnj2 发表于 2012-3-5 19:09
另外一个文件是安全的？

大蜘蛛没报

显示全部楼层 · 发表于 2012-3-5 19:15:56

prawnliu 发表于 2012-3-5 19:12
应该是被误报之后免杀的结果吧

有可能，不过加 MoleBox 也很容易被报...

显示全部楼层 · 发表于 2012-3-5 19:17:01

hx1997 发表于 2012-3-5 19:05
很明显 MYINS.exe 加了壳... 看起来像 MoleBox 的节名...

另外……不像是MoleBox啊……
SectionName这种东西随意改的～
MoleBox可是虚拟机壳
而这个两次ESP大法直接脱的～
里面的内容是个挺典型的VC++6.0程序结构

显示全部楼层 · 发表于 2012-3-5 19:22:18

本帖最后由 hx1997 于 2012-3-5 19:23 编辑

prawnliu 发表于 2012-3-5 19:17
另外……不像是MoleBox啊……
SectionName这种东西随意改的～
MoleBox可是虚拟机壳

好吧，我传了下 jotti，结果是 MoleBox 和 NSPack 混合。该不会哪个伪装壳这么厉害吧...

Packer (Avast): NsPack, MoleBox
Packer (Drweb): MOLEBOX, NSPACK
Packer (Kaspersky): Molebox, NSPack

http://virusscan.jotti.org/en/sc ... 95db86e5a218ae9d5a3

显示全部楼层 · 发表于 2012-3-5 19:24:02

大蜘蛛发现一个，另一个Clean，文件加了壳：
360miss\MYINS.rar/MYINS.EXE packed by MOLEBOX
360miss\MYINS.rar/MYINS.EXE packed by NSPACK

360miss\wupdmgr.rar/wupdmgr.exe infected with Trojan.Siggen1.16790

显示全部楼层 · 发表于 2012-3-5 19:26:02

本帖最后由 prawnliu 于 2012-3-5 19:27 编辑

hx1997 发表于 2012-3-5 19:15
有可能，不过加 MoleBox 也很容易被报...

一上来就能看到一个pushad

ESP大法之后就到了这里：

在上面那个call eax处跟进去，又一个明显的pushad

继续ESP大法，就到这里了：

下面那个未实现的jmp，跳过去就好了：

显示全部楼层 · 发表于 2012-3-5 19:35:02

VT 上显示的节名是 0sp0 这样的，而 PEiD 显示的只有 0.

应该是先加 NSPack 然后一个节名变成了 nsp0，然后又加 MoleBox，节名就写成了 0(\0)sp0？求解。

显示全部楼层 · 发表于 2012-3-5 19:35:08

今晚开了眼界，上面几位都是真正的高人啊！！！

显示全部楼层 · 发表于 2012-3-5 20:05:46

360下载真的报安全

[病毒样本] 两个过360主防的病毒（高毒，千万不要实机测试）

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源