远控木马

显示全部楼层 · 发表于 2012-5-30 01:12:52

本帖最后由 00315 于 2012-5-30 09:49 编辑

母体

2楼部分衍生物---每次运行结果不一样

显示全部楼层 · 发表于 2012-5-30 01:13:27

本帖最后由 00315 于 2012-5-30 09:48 编辑

审核人员不认真啊

显示全部楼层 · 发表于 2012-5-30 09:23:23

样本呢？

显示全部楼层 · 发表于 2012-5-30 09:27:50

本帖最后由 humanlwj52 于 2012-5-30 10:10 编辑

To ESET & AVG.

调用 CMD 和 rundll32.exe

衍生物：

显示全部楼层 · 发表于 2012-5-30 09:44:13

被坑了？

显示全部楼层 · 发表于 2012-5-30 09:47:29

liwnpin 发表于 2012-5-30 09:23
样本呢？

找那个审核帖子的，附件也应该是他们审核的

显示全部楼层 · 发表于 2012-5-30 09:52:42

本帖最后由 xwhmm 于 2012-5-30 09:57 编辑

看见
母体居然all miss

temp 小a可以识别为啊锁炸弹

显示全部楼层 · 发表于 2012-5-30 10:16:07

2012-5-30 10:13:43 c:\windows\explorer.exe 创建新进程 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 允许 [应用程序]c:\windows\explorer.exe 命令行: "C:\Documents and Settings\Administrator\桌面\远控\新建文件夹(4)\twgnDlx4qcpqJ.exe"
2012-5-30 10:13:47 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 创建文件 C:\1.jpg 允许 [应用程序组]『询问』病毒测试 -> [文件组]保护根目录
2012-5-30 10:13:56 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 修改文件 (4) \Device\NamedPipe\wkssvc 阻止 [应用程序组]『询问』病毒测试 -> [文件]*
2012-5-30 10:13:59 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 修改文件 (2) \Device\NamedPipe\lsarpc 阻止 [应用程序组]『询问』病毒测试 -> [文件]*
2012-5-30 10:14:06 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 修改注册表值 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal 阻止 [应用程序组]『询问』病毒测试 -> [注册表]* 值: C:\Documents and Settings\Administrator\My Documents
2012-5-30 10:14:12 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 修改文件 (4) \Device\NamedPipe\lsarpc 阻止 [应用程序组]『询问』病毒测试 -> [文件]*
2012-5-30 10:14:20 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 修改注册表值 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents 阻止 [应用程序组]『询问』病毒测试 -> [注册表]* 值: C:\Documents and Settings\All Users\Documents
2012-5-30 10:14:23 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 修改注册表值 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop 阻止 [应用程序组]『询问』病毒测试 -> [注册表]* 值: C:\Documents and Settings\Administrator\桌面
2012-5-30 10:14:24 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 修改注册表值 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop 阻止 [应用程序组]『询问』病毒测试 -> [注册表]* 值: C:\Documents and Settings\All Users\桌面
2012-5-30 10:14:32 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 创建新进程 c:\windows\system32\rundll32.exe 允许 [应用程序组]『询问』病毒测试命令行: "rundll32.exe" C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\1.jpg
2012-5-30 10:14:43 c:\documents and settings\administrator\桌面\远控\新建文件夹(4)\twgndlx4qcpqj.exe 创建文件 C:\tmep\IRS.dll 阻止 [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

显示全部楼层 · 发表于 2012-5-30 10:26:29

实机测试。。。。。。母体
金山秒。。。。。
微点扫描秒。。。。

显示全部楼层 · 发表于 2012-5-30 10:31:12

wqcaokeyinwq 发表于 2012-5-30 10:26
实机测试。。。。。。母体
金山秒。。。。。
微点扫描秒。。。。

启发报了，双击不一定报。目前来看微点扫描还是有价值的。只不过要想走下去，现在的查杀率可是不行

[病毒样本] 远控木马

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源