网购木马（三二半）

显示全部楼层 · 发表于 2012-4-20 12:53:10

liulangzhecgr 发表于 2012-4-20 12:45
这个木马动作太多啦！...

一代的没任何这种手动hips或火绒能监控的行为，一样窃取网银，其它行为主要是过各类主流杀软，手动hips钻点空档就觉得强了秒杀了，无语

显示全部楼层 · 发表于 2012-4-20 12:58:00

LockeHIPS 发表于 2012-4-20 05:53
一代的没任何这种手动hips或火绒能监控的行为，一样窃取网银，其它行为主要是过各类主流杀软，手动hips钻 ...

求一代没动作样本，本人购物狂，所以特别怕这个，呵呵

显示全部楼层 · 发表于 2012-4-20 12:59:16

tgzw1680 发表于 2012-4-20 12:58
求一代没动作样本，本人购物狂，所以特别怕这个，呵呵

翻翻本区去年上半年的帖子。很多，没必要试，跟你说了没行为了

显示全部楼层 · 发表于 2012-4-20 13:01:47

本帖最后由 LockeHIPS 于 2012-4-20 13:02 编辑

tgzw1680 发表于 2012-4-20 12:58
求一代没动作样本，本人购物狂，所以特别怕这个，呵呵

或者你可以放行现在样本的写启动项和注入再看能不能保护网购，肯定防不住

它只是注入calc之类，对手动hips应该没区别，但是后面的行为根本拦不住，注入calc主要是为了过杀软进入网购前杀掉所有非白进程

显示全部楼层 · 发表于 2012-4-20 13:06:11

LockeHIPS 发表于 2012-4-20 06:01
或者你可以放行现在样本的写启动项和注入再看能不能保护网购，肯定防不住

它只是注入calc之类，对手 ...

报告，我是放过了启动注册和注入两个，并且这两个我单步防御也都没有勾选，你看到的截图是行为分析结果，不是危险动作拦截。以前样本写什么标题啊？网购？

显示全部楼层 · 发表于 2012-4-20 13:09:35

大蜘蛛Clean，文件加了壳：
ETComm.dll packed by PECOMPACT
已上报。

显示全部楼层 · 发表于 2012-4-20 13:10:01

LockeHIPS 发表于 2012-4-20 12:02
前天晚上就在利用了

360云主防行为防御可以防御

你马甲真多

显示全部楼层 · 发表于 2012-4-20 13:10:14

guidanba 发表于 2012-4-20 12:47
如果是下载保护，不欢迎。

云端已经入库了，我也想测行为的啊！....................稍后测试江民

显示全部楼层 · 发表于 2012-4-20 13:11:18

tgzw1680 发表于 2012-4-20 13:06
报告，我是放过了启动注册和注入两个，并且这两个我单步防御也都没有勾选，你看到的截图是行为分析结果， ...

我知道你那是按规则行为分析，我的意思是完全不监控这两个行为，也不因为这两个行为而行为报警（也就是当这两个行为不存在），这样就是模拟一代的情况，因为这个木马不靠这两个行为一样可以干活。。

显示全部楼层 · 发表于 2012-4-20 13:13:50

本帖最后由 liulangzhecgr 于 2012-4-20 13:16 编辑

LockeHIPS 发表于 2012-4-20 12:53
一代的没任何这种手动hips或火绒能监控的行为，一样窃取网银，其它行为主要是过各类主流杀软，手动hips钻 ...

手动hips钻点空档就觉得强了秒杀了，无语

你说我这个hips党赚个空...你看一下！我的防御！360能做到吗？！

[病毒样本] 网购木马（三二半）