网购木马（二一）

显示全部楼层 · 发表于 2012-4-7 18:29:14

guidanba 发表于 2012-4-7 18:27
这些造木马人还真是勤俭节约啊，，，一个月前的也不浪费继续用。

不可能吧，金山刚刚转人工，我就不相信金山的收集能力这么差
包括诺顿也没报呢还

显示全部楼层 · 发表于 2012-4-7 18:29:59

sxyuqiao 发表于 2012-4-7 18:29
不可能吧，金山刚刚转人工，我就不相信金山的收集能力这么差
包括诺顿也没报呢还

好吧，

，再看吧，

显示全部楼层 · 发表于 2012-4-7 18:31:19

guidanba 发表于 2012-4-7 18:29
好吧，，再看吧，

金山人工挺慢的，而且现在是周末。。。
最近金山的收集能力差很多了
你发的19,20 刚刚才变黑

显示全部楼层 · 发表于 2012-4-7 18:31:33

试了下金山。。。人工鉴定中- -，

显示全部楼层 · 发表于 2012-4-7 18:32:31

guidanba 发表于 2012-4-7 18:29
好吧，，再看吧，

看了下记录，3月初就发现这个白+黑了，当时就可以防御了。

看了下日志，最近这个已经极少了，每天也就不超过100个，估计是那些没问装了什么的

显示全部楼层 · 发表于 2012-4-7 18:32:43

To ESET.

显示全部楼层 · 发表于 2012-4-7 18:33:03

sxyuqiao 发表于 2012-4-7 18:26
感觉是通过调用一个程序然后释放的

上次实机试样本，发现在C盘那个目录下生成这几个文件，还有的就是c ...

更奇怪了我没记录到cal.exe启动啊

显示全部楼层 · 发表于 2012-4-7 18:33:12

LockeHIPS 发表于 2012-4-7 18:32
看了下日志，3月初就发现这个白+黑了，当时就可以防御了。

继续努力。

显示全部楼层 · 发表于 2012-4-7 18:34:05

哦。不需要dat的嘛。。。

可以跑起来。不好行为好像？

显示全部楼层 · 发表于 2012-4-7 18:36:51

Howl 发表于 2012-4-7 18:33
更奇怪了我没记录到cal.exe启动啊

这个没启动，我的意思是20号样本还是19号，，，真是奇怪怎么调用那个了

[病毒样本] 网购木马（二一）