sonar被过了以后。。。

wjcharles

终于在样本区出现了一个过sonar并可以正常运行的样本，由于版规就不发链接了

文件信誉正常



双击自删除，注入svchost外联下载



然后就是NIS的表演了，ips、下载分析轮番上阵









其实准确的说是母体下载者过了sonar，衍生物嘛。。。



估计没别的可以下载了，重复了。。。



上个sonar的详细日志。。。



完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/4/29 ( 20:31:25 )
上次使用时间 2012/4/29 ( 20:31:25 )
启动项目 否
已启动 是
____________________________
____________________________
少量用户信任的文件
诺顿社区中有不到 100 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
svchost.exe

创建的文件:
07415334.exe
____________________________
文件操作
文件: c:\users\sshss\appdata\local\07415334.exe
已删除
____________________________
网络操作
事件: 已触发自动防护 (执行者 c:\users\sshss\appdata\local\07415334.exe, PID:8360)
未采取操作
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\sshss\appdata\local\07415334.exe, PID:8360)
未采取操作
事件: PE 文件创建: c:\users\sshss\appdata\local\temp\networktoolhelper.dll (执行者 c:\users\sshss\appdata\local\07415334.exe, PID:8360)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

myywin

Notorn防御依旧犀利。。。。
母体仅有下载行为，不报正常。。。。。

dopod2009

小w，不厚道啊。还不快点去官方论坛开帖，顺便提供一下样本

尘梦幽然

本地联动，已经好久没见过这么经典的样本了。

wjcharles

dopod2009 发表于 2012-4-29 22:15
小w，不厚道啊。还不快点去官方论坛开帖，顺便提供一下样本

发样本区帖子的标题不违规吧？

邮箱收到的，NISmiss，eset、金山杀

尘梦幽然

dopod2009 发表于 2012-4-29 22:15 小w，不厚道啊。还不快点去官方论坛开帖，顺便提供一下样本

多普达，半个月没见你，难不成是考英语6级去了？

wjcharles

5234377 发表于 2012-4-29 23:32
本地联动，已经好久没见过这么经典的样本了。

可惜作者太不敬业了，服务器端只有两个样本。。。
不过美中不足的是svchost不能终止，遇到病毒资源丰富的下载者估计会影响系统性能

尘梦幽然

wjcharles 发表于 2012-4-29 23:36
可惜作者太不敬业了，服务器端只有两个样本。。。
不过美中不足的是svchost不能终止，遇到病毒资源丰富的 ...

svchost.exe被插入的情况下安软是不能介入的。这次诺顿不能杀病毒本体的原因很简单-它没有侦测出到底是哪个dll在从中作祟。这种情况和白加黑样本还有利用cmd样本进行的网银盗窃有点类似。

dopod2009

5234377 发表于 2012-4-29 23:35
多普达，半个月没见你，难不成是考英语6级去了？

复习英语是一方面，还有实验要做

尘梦幽然

dopod2009 发表于 2012-4-30 07:59
复习英语是一方面，还有实验要做

看来我猜的挺准！
话说你是学什么专业的？