求行为分析和这是啥文件

显示全部楼层 · 发表于 2012-3-17 17:52:30

本帖最后由 tongming133 于 2012-3-17 17:56 编辑

文件特征
1.每个盘符根目录下都有此文件.
2.经过查询进程服务等,没有看到此踪迹.
3.文件经过www.virscan.org扫描只有一款杀毒软件报木马
Comodo 5.1 11816 2012-03-17 TrojWare.Win32.Trojan.Agent.Gen
请大家分析一下,谢谢!!!

再添加一个文件,它特征和上个差不多

显示全部楼层 · 发表于 2012-3-17 17:55:29

本帖最后由 zmzcy 于 2012-3-17 18:03 编辑

一直重复..................................................................................

显示全部楼层 · 发表于 2012-3-17 17:56:42

Executing: c:\users\shamrock\desktop\jump\jump.exe
LoadLibrary(oleaut32.dll) [c:\users\shamrock\desktop\jump\jump.exe]
LoadLibrary(ole32.dll) [c:\users\shamrock\desktop\jump\jump.exe]
LoadLibrary(version.dll) [c:\users\shamrock\desktop\jump\jump.exe]
LoadLibrary(comctl32.dll) [c:\users\shamrock\desktop\jump\jump.exe]
GetModuleHandle(lz32.dll) [c:\users\shamrock\desktop\jump\jump.exe]
GetModuleHandle(KERNEL32.DLL) [c:\users\shamrock\desktop\jump\jump.exe]
GetModuleHandle(KERNELBASE.DLL) [c:\users\shamrock\desktop\jump\jump.exe]
GetModuleHandle(LPK.DLL) [c:\users\shamrock\desktop\jump\jump.exe]
GetModuleHandle(KERNEL32) [c:\users\shamrock\desktop\jump\jump.exe]
LoadLibrary(lz32.dll) [c:\users\shamrock\desktop\jump\jump.exe]
LoadLibrary(c:\windows\system32\uxtheme.dll) [c:\users\shamrock\desktop\jump\jump.exe]
LoadLibrary(uxtheme.dll) [c:\users\shamrock\desktop\jump\jump.exe]
IsDebuggerPresent() [c:\users\shamrock\desktop\jump\jump.exe]
GetModuleHandle(user32.dll) [c:\users\shamrock\desktop\jump\jump.exe]
BitBlt() [c:\users\shamrock\desktop\jump\jump.exe]
LoadLibrary(dwmapi.dll) [c:\users\shamrock\desktop\jump\jump.exe]
GetModuleHandle(C:\Users\Shamrock\Desktop\jump\jump.exe) [c:\users\shamrock\desktop\jump\jump.exe]
GetModuleHandle(LPK) [c:\users\shamrock\desktop\jump\jump.exe]
LoadLibrary(shlwapi.dll) [c:\users\shamrock\desktop\jump\jump.exe]
CreateProcess((null),cmd /c start explorer .  ,(null)) [c:\users\shamrock\desktop\jump\jump.exe]
LoadLibrary(apphelp.dll) [c:\users\shamrock\desktop\jump\jump.exe]
Executing: c:\windows\syswow64\cmd.exe
LoadLibrary(winbrand.dll) [c:\windows\syswow64\cmd.exe]
GetModuleHandle(lz32.dll) [c:\windows\syswow64\cmd.exe]
LoadLibrary(lz32.dll) [c:\windows\syswow64\cmd.exe]
GetModuleHandle(user32.dll) [c:\windows\syswow64\cmd.exe]
LoadLibrary(c:\windows\system32\uxtheme.dll) [c:\windows\syswow64\cmd.exe]
LoadLibrary(uxtheme.dll) [c:\windows\syswow64\cmd.exe]
IsDebuggerPresent() [c:\windows\syswow64\cmd.exe]
LoadLibrary(dwmapi.dll) [c:\windows\syswow64\cmd.exe]
GetModuleHandle(KERNEL32.DLL) [c:\windows\syswow64\cmd.exe]
OpenService(IPMonitor) [c:\users\shamrock\desktop\jump\jump.exe]
CreateService(IPMonitor) [c:\users\shamrock\desktop\jump\jump.exe]
CreateProcess(C:\Windows\SysWOW64\explorer.exe,explorer  .  ,(null)) [c:\windows\syswow64\cmd.exe]
LoadLibrary(apphelp.dll) [c:\windows\syswow64\cmd.exe]
Executing: c:\windows\syswow64\explorer.exe
LoadLibrary(shlwapi.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(shell32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(ole32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(oleaut32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(explorerframe.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(duser.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(dui70.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(uxtheme.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(powrprof.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(setupapi.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(cfgmgr32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(devobj.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(dwmapi.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(slc.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(gdiplus.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(secur32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(propsys.dll) [c:\windows\syswow64\explorer.exe]
GetModuleHandle(lz32.dll) [c:\windows\syswow64\explorer.exe]
GetModuleHandle(advapi32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(lz32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(api-ms-win-core-localregistry-l1-1-0.dll) [c:\windows\syswow64\explorer.exe]
OpenProcessToken(C:\Windows\SysWOW64\explorer.exe) [c:\windows\syswow64\explorer.exe]
LoadLibrary(c:\windows\system32\uxtheme.dll) [c:\windows\syswow64\explorer.exe]
IsDebuggerPresent() [c:\windows\syswow64\explorer.exe]
GetModuleHandle(user32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(winsta.dll) [c:\windows\syswow64\explorer.exe]
GetModuleHandle(LPK) [c:\windows\syswow64\explorer.exe]
LoadLibrary(comctl32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(apphelp.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(clbcatq.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(oleaccrc.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(ieframe.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(psapi.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(oleacc.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(iertutil.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(urlmon.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(wininet.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(normaliz.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(ntmarta.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(wldap32.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(cryptsp.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(rsaenh.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(rpcrtremote.dll) [c:\windows\syswow64\explorer.exe]
LoadLibrary(actxprxy.dll) [c:\windows\syswow64\explorer.exe]
GetModuleHandle(ole32.dll) [c:\windows\syswow64\explorer.exe]
CreateProcess((null),cmd /c  net start IPMonitor ,(null)) [c:\users\shamrock\desktop\jump\jump.exe]
CreateProcess(C:\Windows\SysWOW64\net.exe,net  start IPMonitor ,C:\Users\Shamrock\Desktop\jump) [c:\windows\syswow64\cmd.exe]
Executing: c:\windows\syswow64\net.exe
LoadLibrary(netutils.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(browcli.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(samcli.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(srvcli.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(wkscli.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(mpr.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(iphlpapi.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(nsi.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(winnsi.dll) [c:\windows\syswow64\net.exe]
GetModuleHandle(lz32.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(lz32.dll) [c:\windows\syswow64\net.exe]
GetModuleHandle(user32.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(c:\windows\system32\uxtheme.dll) [c:\windows\syswow64\net.exe]
LoadLibrary(uxtheme.dll) [c:\windows\syswow64\net.exe]
IsDebuggerPresent() [c:\windows\syswow64\net.exe]
LoadLibrary(dwmapi.dll) [c:\windows\syswow64\net.exe]
CreateProcess((null),C:\Windows\system32\net1  start IPMonitor ,(null)) [c:\windows\syswow64\net.exe]
LoadLibrary(apphelp.dll) [c:\windows\syswow64\net.exe]
Executing: c:\windows\syswow64\net1.exe
LoadLibrary(dsrole.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(netutils.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(logoncli.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(browcli.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(samcli.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(srvcli.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(wkscli.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(netapi32.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(samlib.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(ntdsapi.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(ws2_32.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(nsi.dll) [c:\windows\syswow64\net1.exe]
GetModuleHandle(lz32.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(lz32.dll) [c:\windows\syswow64\net1.exe]
GetModuleHandle(user32.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(c:\windows\system32\uxtheme.dll) [c:\windows\syswow64\net1.exe]
LoadLibrary(uxtheme.dll) [c:\windows\syswow64\net1.exe]
IsDebuggerPresent() [c:\windows\syswow64\net1.exe]
LoadLibrary(dwmapi.dll) [c:\windows\syswow64\net1.exe]
OpenService(IPMonitor) [c:\windows\syswow64\net1.exe]
ControlService(4) [c:\windows\syswow64\net1.exe]
StartService() [c:\windows\syswow64\net1.exe]

显示全部楼层 · 发表于 2012-3-17 17:56:53

nod32 360

显示全部楼层 · 发表于 2012-3-17 18:02:36

本帖最后由 tgzw1680 于 2012-3-17 11:06 编辑

不错，有质量，呵呵，双击党表示kes毫无压力。win8下没有手动hips没办法帮忙了，呵呵

显示全部楼层 · 发表于 2012-3-17 18:04:45

金山毒霸扫描
报一个jump.exe w

显示全部楼层 · 发表于 2012-3-17 18:05:35

啊啊啊啊啊啊啊,这啥玩意呀?

显示全部楼层 · 发表于 2012-3-17 18:09:28

本帖最后由 wjcharles 于 2012-3-17 18:12 编辑

NIS2012 sonar 全杀

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/3/17 ( 18:08:30 )
上次使用时间 2012/3/17 ( 18:08:30 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

源文件:
winrar.exe

创建的文件:
jump.exe
____________________________
文件操作
文件: c:\users\sshss\downloads\jump\jump.exe
已删除
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\jump\jump.exe, PID:16648)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/3/17 ( 18:09:33 )
上次使用时间 2012/3/17 ( 18:09:33 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

源文件:
winrar.exe

创建的文件:
upip.exe
____________________________
文件操作
文件: c:\users\sshss\downloads\upip\upip.exe
已删除
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\upip\upip.exe, PID:24640)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2012-3-17 18:32:24

第一个金山，微点，都杀。。。。第二个压缩包貌似里面没文件。。解压后，上面也没有。。

显示全部楼层 · 发表于 2012-3-17 18:35:11

Level 1 - C:\Windows\SysWOW64\cmd.exe (100576) attempted to START NEW PROCESS C:\Windows\SysWOW64\explorer.exe (0) - allowed.
Command-line: explorer .

Level 1 - C:\Users\Gateway\Desktop\jump.exe has terminated with the exit code 0.

Level 2 - C:\Windows\SysWOW64\cmd.exe (108516) attempted to START NEW PROCESS C:\Windows\SysWOW64\net.exe (0) - allowed.
Command-line: net start IPMonitor

Level 2 - C:\Windows\SysWOW64\cmd.exe has terminated with the exit code 1.

Level 2 - C:\Windows\SysWOW64\cmd.exe has terminated with the exit code 1.

[可疑文件] 求行为分析和这是啥文件

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源