网购木马（九）

xyc5238207

微点主防被过了

huihui458

卡巴MISSING

xyc5238207

这货定向劫持url。微点居然没反应，！！！楼主发的样本可以叫做微点克星了。几乎全过微点。

guidanba

xyc5238207 发表于 2012-3-28 21:35
这货定向劫持url。微点居然没反应，！！！楼主发的样本可以叫做微点克星了。几乎全过微点。

只克微点吗？其他国外系也不是很行吧

yhjtj

md的日志用的别人规则，呵呵
2012-3-28 21:33:44    创建新进程    允许
进程: c:\windows.0\explorer.exe
目标: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
命令行: "C:\Documents and Settings\Administrator.CHINA-3D80B4853\桌面\TaotaotuCrashReport.exe"
规则: [应用程序]c:\windows.0\explorer.exe -> [子应用程序]『询问』病毒测试 -> [应用程序]c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe

2012-3-28 21:33:49    创建文件夹    允许
进程: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
目标: C:\Program Files\tupian
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012-3-28 21:33:51    创建文件    允许
进程: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
目标: C:\Program Files\tupian\haoziptu.dat
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012-3-28 21:33:52    创建文件    允许
进程: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
目标: C:\Program Files\tupian\zlib.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012-3-28 21:33:53    创建文件    允许
进程: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
目标: C:\Program Files\tupian\tupian.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012-3-28 21:33:57    修改注册表值    阻止
进程: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MutexKey
值: C:\Program Files\tupian\tupian.exe
规则: [应用程序组]『询问』病毒测试 -> [注册表组]自动运行 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2012-3-28 21:34:01    创建文件    允许
进程: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
目标: C:\Program Files\tupian\Head.bin
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012-3-28 21:34:06    创建新进程    允许
进程: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
目标: c:\windows.0\system32\notepad.exe
命令行: C:\WINDOWS.0\system32\notepad.exe
规则: [应用程序组]『询问』病毒测试

2012-3-28 21:34:19    修改其他进程的内存 (7)    允许
进程: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
目标: c:\windows.0\system32\notepad.exe
规则: [应用程序组]『询问』病毒测试

2012-3-28 21:34:24    修改其他进程的线程    允许
进程: c:\documents and settings\administrator.china-3d80b4853\桌面\taotaotucrashreport.exe
目标: c:\windows.0\system32\notepad.exe
规则: [应用程序组]『询问』病毒测试

2012-3-28 21:34:27    修改注册表值    阻止
进程: c:\windows.0\system32\notepad.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1609
值: 0x00000000(0)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

Nocria

TF

Nocria

IDP miss
To AVG.

yhjtj

ssf厉害，拦截了md不拦截的行为，一步搞定
2012-3-28 21:50:51,C:\WINDOWS.0\explorer.exe,53,Allowed ;Execution of an application (C:\Documents and Settings\Administrator.CHINA-3D80B4853\桌面\TaotaotuCrashReport.exe)
2012-3-28 21:50:56,C:\Documents and Settings\Administrator.CHINA-3D80B4853\桌面\TaotaotuCrashReport.exe,40,Blocked ;打开其它进程并获取修改权限 (smss.exe(pid=564))

留侯

大蜘蛛Clean，文件加了壳：
TaotaotuCrashReport\zlib.dll - packed by PECOMPACT
已上报！

yylx168912

过BD！