远控木马（十七）

275751198

storm衍生物报，QVM30，主包未知

港岛妹妹

to jiangmin

Dust-;羅錠

大蜘蛛clean，已上报。

/tiao眼镜鱼

金山杀，数字未知

XMonster

hx1997 发表于 2012-6-19 00:31
To ESET.

Malcide Scanner

启发真不错 赞一个~

BootLoader

有点老了，360主防秒杀

jayavira

TF

guidanba

BootLoader 发表于 2012-6-19 08:00
有点老了，360主防秒杀

过了8个小时，当然有点老了。
还是再多做点实事吧，360的网络安全防护当时看来就是个废柴，360既然不加入传统防火墙，那就麻烦把独创的新式防火墙的强度做好点，别关键时刻像个废柴。

消停

wjcharles 发表于 2012-6-19 01:09
NIS2012 扫描+双击 MISS
母体释放stormtray.exe和stormupdate.dll (都是新文件)
stormtray加载dll并外联

我这里双击秒了母体和stormtray.exe



完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012-6-19 ( 8:17:35 )
上次使用时间 2012-6-19 ( 8:17:35 )
启动项目 否
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
htkeju.exe

创建的文件:
stormtray.exe
____________________________
文件操作
文件: c:\documents and settings\administrator\storm\stormtray.exe
已删除
文件: f:\样本\kf617\htkeju\htkeju.exe
已删除
____________________________
网络操作
事件: 网络活动 (执行者 c:\documents and settings\administrator\storm\stormtray.exe, PID:3136)
未采取操作
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\documents and settings\administrator\storm\stormtray.exe, PID:3136)
未采取操作
事件: 进程启动 (执行者 f:\样本\kf617\htkeju\htkeju.exe, PID:1424)
未采取操作
事件: PE 文件创建: c:\documents and settings\administrator\Storm\stormupdate.dll (执行者 f:\样本\kf617\htkeju\htkeju.exe, PID:1424)
未采取操作
事件: PE 文件创建: c:\documents and settings\administrator\storm\stormtray.exe (执行者 f:\样本\kf617\htkeju\htkeju.exe, PID:1424)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

BootLoader

guidanba 发表于 2012-6-19 08:19
过了8个小时，当然有点老了，，昨天晚上这个样本让一个人直接损失了600元人民币，他当时运行此样本 ...

我是8小时后才看到你的样本，不代表8小时前不能拦截，看了下，昨天中午开始这个就可以拦截了。

运行完了360防护被木马关了是不可能的，因为这个木马本身没有攻击能力

我之前说过，这个月和下个月会加强ND的防御能力，到时候看好了，不过攻防都是无止境的。