远控木马（十七）

显示全部楼层 · 发表于 2012-6-19 08:27:01

本帖最后由 guidanba 于 2012-6-19 10:40 编辑

BootLoader 发表于 2012-6-19 08:22
我是8小时后才看到你的样本，不代表8小时前不能拦截，看了下，昨天中午开始这个就可以拦截了。

运行完 ...

增强ND，还是更快些吧，拖的时间越久，有些人就越心寒呐，

显示全部楼层 · 发表于 2012-6-19 08:28:22

guidanba 发表于 2012-6-19 08:27
反正是有受害人的，。至于增强ND，还是更快些吧，拖的时间越久，有些受害人就越心寒呐，

会尽快的。

显示全部楼层 · 发表于 2012-6-19 08:39:46

guidanba 发表于 2012-6-19 08:19
过了8个小时，当然有点老了，，昨天晚上这个样本让一个人直接损失了600元人民币，他当时运行此样本 ...

说的有理！
智能防火太没准了

显示全部楼层 · 发表于 2012-6-19 08:57:35

本帖最后由 liulangzhecgr 于 2012-6-19 09:04 编辑

禁运党来啦！

2012-6-19 08:49:55 创建新进程允许
进程: c:\windows\explorer.exe
目标: e:\downloads\管理员\htkeju\htkeju.exe
命令行: "E:\downloads\管理员\HtkEju\HtkEju.exe"
规则: [应用程序]*

2012-6-19 08:50:06 创建文件夹允许
进程: e:\downloads\管理员\htkeju\htkeju.exe
目标: C:\Documents and Settings\Administrator\Storm
规则: [应用程序]* -> [文件]*

2012-6-19 08:50:23 创建文件允许
进程: e:\downloads\管理员\htkeju\htkeju.exe
目标: C:\Documents and Settings\Administrator\Storm\StormUpdate.dll
规则: [应用程序]* -> [文件]*

2012-6-19 08:50:30 创建文件允许
进程: e:\downloads\管理员\htkeju\htkeju.exe
目标: C:\Documents and Settings\Administrator\Storm\Stormtray.exe
规则: [应用程序]* -> [文件]*

2012-6-19 08:51:01 创建新进程允许
进程: e:\downloads\管理员\htkeju\htkeju.exe
目标: c:\windows\system32\rundll32.exe
命令行: "rundll32.exe" C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen E:\downloads\管理员\HtkEju\xxx.jpg
规则: [应用程序]*

2012-6-19 08:51:12 创建注册表项允许
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellImageView
规则: [应用程序]* -> [注册表]*

2012-6-19 08:51:20 修改注册表值允许
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellImageView\Bounds
值: 2c 00 00 00 3a 00 00 00 2c 03 00 00 4c 02 00 00
规则: [应用程序]* -> [注册表]*

2012-6-19 08:51:25 修改注册表值允许
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellImageView\Maximize
值: 00 00 00 00
规则: [应用程序]* -> [注册表]*

自动退出。。。呵呵！ +水！

显示全部楼层 · 发表于 2012-6-19 09:02:31

母体mse 不杀衍生物kill

显示全部楼层 · 发表于 2012-6-19 09:07:28

hi，sodiesi

显示全部楼层 · 发表于 2012-6-19 09:07:49

3楼测试毛豆了我就不了

显示全部楼层 · 发表于 2012-6-19 09:36:35

过火绒

显示全部楼层 · 发表于 2012-6-19 10:37:19

guidanba 发表于 2012-6-19 08:19
过了8个小时，当然有点老了，，昨天晚上这个样本让一个人直接损失了600元人民币，他当时运行此样本 ...

你怎么知道的这么清楚。。600元。。。难道你是。。。。

显示全部楼层 · 发表于 2012-6-19 10:38:53

22667999 发表于 2012-6-19 10:37
你怎么知道的这么清楚。。600元。。。难道你是。。。。

我谁也不是。

[病毒样本] 远控木马（十七）

本帖子中包含更多资源