NIS杀白加黑的进展

显示全部楼层 · 发表于 2012-4-23 12:40:16

本帖最后由 wjcharles 于 2012-4-23 12:42 编辑

由于铁壳区版规所限，请移步国外区。。。
http://bbs.kafan.cn/forum.php?mo ... 6orderby%3Ddateline

内容简介：
1.杀了一次昨天样本区的白加黑原始压缩包，双击exe杀dll
2.加载黑dll后扫描可以扫到，跟云有关

显示全部楼层 · 发表于 2012-4-23 12:42:25

norton云竟然不是实时的.....

显示全部楼层 · 发表于 2012-4-23 12:52:55

本帖最后由 wjcharles 于 2012-4-23 12:58 编辑

z13667152750 发表于 2012-4-23 12:42
norton云竟然不是实时的.....

只有解压下载分析支持的原包，双击exe杀dll才算实时，也是靠云的
扫描那个跟国内卫士差不多吧，主防被过靠扫描发现

显示全部楼层 · 发表于 2012-4-23 13:26:54

一开始下载智能分析就能杀，前提是的是诺顿支持的格式

显示全部楼层 · 发表于 2012-4-23 13:38:29

消停发表于 2012-4-23 13:26
一开始下载智能分析就能杀，前提是的是诺顿支持的格式

现在为了避免误报，很多情况下光解压是不杀的，这次是双击了exe才杀dll的
一开始下载分析杀的不是对方发来的原始压缩包，原包一般是特殊压缩格式，做过处理，用来绕过卫士等的网盾

显示全部楼层 · 发表于 2012-4-23 13:57:44

wjcharles 发表于 2012-4-23 13:38
现在为了避免误报，很多情况下光解压是不杀的，这次是双击了exe才杀dll的
一开始下载分析杀的不是对方发 ...

解压就分析了dll的！

显示全部楼层 · 发表于 2012-4-23 22:03:52

消停发表于 2012-4-23 13:57
解压就分析了dll的！

以前解压分析是发帖的人自己把制作的压缩包(rar)，不是实际中攻击者发你的原始样本包。。。

显示全部楼层 · 发表于 2012-4-23 22:16:34

wjcharles 发表于 2012-4-23 22:03 以前解压分析是发帖的人自己把制作的压缩包(rar)，不是实际中攻击者发你的原始样本包。。。

这个包我于今天下午上传官方论坛，不过以赛门铁克的响应速度恐怕这次是主动发现的（看到是信誉算法了）。
你这次是解压那个.z结尾的包后再双击才报的？

显示全部楼层 · 发表于 2012-4-23 23:34:17

本帖最后由 wjcharles 于 2012-4-23 23:37 编辑

5234377 发表于 2012-4-23 22:16
这个包我于今天下午上传官方论坛，不过以赛门铁克的响应速度恐怕这次是主动发现的（看到是信誉算法了）。 ...

.z的格式不知怎么被下载分析监控到了，解压后那个dll没杀，右键文件分析也未知，但双击白的exe后那个dll就被杀了。。。以前从来没有这种情况

扫描那个是前几天的，当天的样本，加载后被自动后台扫描杀，明显的云反馈，之后24h内这个dll就入库了，名称也变了，有了系统修复流程，见下
所以NIS也算两手抓，下载分析联动防入口，扫描进行补漏、修复，不过都需要云反馈。。。

完整路径: c:\users\sshss\downloads\32.5\etcomm.dll
威胁: Backdoor.Graybird
____________________________
____________________________
在电脑上的创建时间 2012/4/21 ( 0:04:08 )
上次使用时间 2012/4/21 ( 22:20:17 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
威胁类型: 病毒。将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。
____________________________

源文件:
winrar.exe

创建的文件:
etcomm.dll
____________________________
文件操作
文件: c:\users\sshss\appdata\local\virtualstore\windows\syswow64\installed.dat
需要重新启动
文件: c:\windows\syswow64\installed.dat
需要重新启动
事件: 正在运行进程: C:\Program Files (x86)\Internet Explorer\iexplore.exe
已终止
受感染文件: c:\users\sshss\downloads\32.5\etcomm.dll
需要重新启动
____________________________
注册表操作
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\New Windows\->PopupMgr:yes
已修复
注册表更改: HKEY_USERS\S-1-5-21-132046228-1071471334-2442218452-1000\Software\Microsoft\Internet Explorer\New Windows\->PopupMgr:yes
已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\New Windows\->PopupMgr:yes
已修复
注册表更改: HKEY_USERS\S-1-5-21-132046228-1071471334-2442218452-1003\Software\Microsoft\Internet Explorer\New Windows\->PopupMgr:yes
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\New Windows\->PopupMgr:yes
已修复
____________________________
文件指纹 - SHA:
dc3a86d59fe69a9b813ec7f556aba3bbfcb67b550b208745fd2eceb938d78c64
____________________________
文件指纹 - MD5:
d61145fe10528a7bb16c28d5702fffa4
____________________________

显示全部楼层 · 发表于 2012-4-24 10:23:59

wjcharles 发表于 2012-4-23 23:34
.z的格式不知怎么被下载分析监控到了，解压后那个dll没杀，右键文件分析也未知，但双击白的exe后那个dl ...

.z结尾的那个下载智能分析应该属于和迅雷的下载智能分析同一个机制的双击时分析。
之前我们上报的那几个估计都不会入库了。因为都已经是针对性攻击后的空壳了。

[讨论] NIS杀白加黑的进展