目前国内仅金山拦截

显示全部楼层 · 发表于 2012-5-25 13:19:33

大蜘蛛MISS

显示全部楼层 · 发表于 2012-5-25 13:23:04

希望楼主上传完整样本

显示全部楼层 · 发表于 2012-5-25 13:24:46

z13667152750 发表于 2012-5-25 13:23
希望楼主上传完整样本

已经完整了 GameUP.exe对这个样本没有什么意义

显示全部楼层 · 发表于 2012-5-25 13:27:48

00315 发表于 2012-5-25 13:24
已经完整了 GameUP.exe对这个样本没有什么意义

360未拦截外联,但是我希望再测试下原始样本,而不是提取的样本

因为XT发现运行一段时间后,就没有tcp外联了

显示全部楼层 · 发表于 2012-5-25 13:29:59

z13667152750 发表于 2012-5-25 13:27
360未拦截外联,但是我希望再测试下原始样本,而不是提取的样本

再说一次这个已经是完整的远控程序

显示全部楼层 · 发表于 2012-5-25 13:32:05

00315 发表于 2012-5-25 13:29
再说一次这个已经是完整的远控程序

任务管理器中有进程,但是XT发现无对应tcp链接

显示全部楼层 · 发表于 2012-5-25 13:34:29

z13667152750 发表于 2012-5-25 13:32
任务管理器中有进程,但是XT发现无对应tcp链接

2012-5-25 11:07:13 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\services\lsass.exe
命令行: "C:\WINDOWS\system32\Services\lsass.exe"
规则: [应用程序]*

2012-5-25 11:07:26 底层键盘操作允许
进程: c:\windows\system32\services\lsass.exe
规则: [应用程序]*

2012-5-25 11:07:27 访问网络允许
进程: c:\windows\system32\services\lsass.exe
目标: TCP [本机 : 1143] -> [115.218.55.175 : 30001]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-5-25 11:08:26 底层键盘操作 (8) 允许
进程: c:\windows\system32\services\lsass.exe
规则: [应用程序]*

显示全部楼层 · 发表于 2012-5-25 13:35:46

z13667152750 发表于 2012-5-25 13:32
任务管理器中有进程,但是XT发现无对应tcp链接

另外xuetr不是万能的，呵呵

显示全部楼层 · 发表于 2012-5-25 13:37:42

大蜘蛛clean，已上报。

显示全部楼层 · 发表于 2012-5-25 13:38:56

本帖最后由 z13667152750 于 2012-5-25 13:42 编辑

00315 发表于 2012-5-25 13:35
另外xuetr不是万能的，呵呵

使用MD发现开始时有tcp外联,但是只外联一次,然后就没有tcp外联行为了(通过MD网络监控)

而且奇怪的是,我这里测试时,MD提示外联的外联ip竟然是127.0.0.1:30001

补充:该进程是周期性外联,这个倒是很符合远控的行为

[病毒样本] 目前国内仅金山拦截

本帖子中包含更多资源