大家帮忙看看淘宝卖家发来的是不是木马

q407338725

倾枫锝渔♂ 发表于 2012-3-23 11:17
我又运行了一遍  确实和刚刚别人发的样本  一模一样~~

LZ  你要小心了  你可能中招了~~~

怪不得 卖家发这个东西后叫我打开后不再理我了

倾枫锝渔♂

q407338725 发表于 2012-3-23 11:22
怪不得 卖家发这个东西后叫我打开后不再理我了

想不通 这你也信~~~╮(╯▽╰)╭   以后注意了~~
你看看你c盘跟目录下面是不是多出了三个文件~~
还有C:\Program Files下面 是不是多出了两个文件夹  分别是a  和 .a~

倾枫锝渔♂

还有 金山是杀了那个dll文件才对的呀·
你的肿么没反应 郁闷~~~

q407338725

倾枫锝渔♂ 发表于 2012-3-23 11:27
还有 金山是杀了那个dll文件才对的呀·
你的肿么没反应 郁闷~~~

我下载了360卫士8.5最新版 指定扫描桌面该文件夹以及快速扫描 没有提示风险。。。。。。

倾枫锝渔♂

q407338725 发表于 2012-3-23 11:29
我下载了360卫士8.5最新版 指定扫描桌面该文件夹以及快速扫描 没有提示风险。。。。。。

网盾已经杀了那个dll文件了


你用急救箱 扫下电脑吧~~

顺便看下12L  看看有没有这些文件~~

q407338725

奇怪，打开刚才因为360卫士关闭的金山卫士  启用快速扫描。提示风险了。。。。360还没有

yjwfdc

创建文件

2012/3/21 20:24:13    创建文件    允许
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: C:\haotu.dat
规则: [文件]?:\*

2012/3/21 20:24:18    修改文件    允许
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: C:\haotu.dat
规则: [文件]*

2012/3/21 20:24:29    创建文件    允许
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: C:\hwsig.dll
规则: [文件组]f061_行为防御2 -> [文件]?:\; *.dll

2012/3/21 20:24:37    创建文件    允许
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: C:\seup.exe
规则: [文件]?:\*

创建启动项

2012/3/21 20:24:52    创建注册表项    阻止
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
规则: [注册表组]r015_注意 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2012/3/21 20:24:53    创建注册表项    阻止
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
规则: [注册表组]r015_注意 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*
创建文件

2012/3/21 20:25:32    创建文件    允许
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: C:\Program Files\a\synec.exec
规则: [文件]?:\*

2012/3/21 20:25:35    创建文件    允许
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: C:\Program Files\a\notepad.exe
规则: [文件]?:\*

修改注册表,不清楚作用.懂的说一下.(忘记了,21号测试的,自己规则里写的是"修改组策略记录")
2012/3/21 20:25:46    创建注册表项    阻止
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{1b55460a-c650-4bb7-ad7a-63a629dc7d3a}
规则: [注册表组]r010_行为防御 -> [注册表]HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Safer\CodeIdentifiers\*

2012/3/21 20:25:46    创建注册表项    阻止
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\safer\codeidentifiers\0
规则: [应用程序]?* -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers

2012/3/21 20:25:47    修改注册表值    阻止
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\safer\codeidentifiers\TransparentEnabled
值: 0x00000002(2)
规则: [应用程序]?* -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers

运行记事本,控制记事本.
2012/3/21 20:25:55    创建新进程    允许
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: c:\windows\system32\notepad.exe
命令行: notepad.exe
规则: [应用程序]* -> [子应用程序]*.exe

2012/3/21 20:26:16    修改其他进程的内存    允许
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: c:\windows\system32\notepad.exe
规则: [应用程序]* -> [目标应用程序]c:\windows\*

2012/3/21 20:26:20    修改其他进程的线程    允许
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: c:\windows\system32\notepad.exe
规则: [应用程序]* -> [目标应用程序]c:\windows\*
控制记事本连网
2012/3/21 20:27:01    访问网络    阻止
进程: c:\windows\system32\notepad.exe
目标: TCP [本机 : 52173] ->  [220.250.64.24 : 80 (http)]
规则: [应用程序]c:\windows\* -> [网络组]n0所有允许或阻止

2012/3/21 20:27:30    访问网络    阻止并结束进程
进程: c:\windows\system32\notepad.exe
目标: TCP [本机 : 52174] ->  [220.250.64.24 : 80 (http)]
规则: [应用程序]c:\windows\* -> [网络组]n0所有允许或阻止

2012/3/21 20:27:34    创建新进程    阻止并结束进程
进程: d:\测试\20120321\特价详细介绍\特价详细介绍.exe
目标: c:\windows\system32\notepad.exe
命令行: notepad.exe
规则: [应用程序]* -> [子应用程序]*.exe

实机运行,下面未测试.

倾枫锝渔♂

yjwfdc 发表于 2012-3-23 11:34
创建文件

2012/3/21 20:24:13    创建文件    允许

那个你说的注册表 是修改组策略的~~~

yjwfdc

倾枫锝渔♂ 发表于 2012-3-23 11:37
那个你说的注册表 是修改组策略的~~~

忘记了,我的规则有记录

倾枫锝渔♂

yjwfdc 发表于 2012-3-23 11:39
忘记了,我的规则有记录

样本有问题  就是了~