远控木马（十八）

3801187

先创建控制肉鸡文件，然后修改系统文件，不过把修改系统文件阻止了这个远控木马就没用了。

无奈的C

3801187 发表于 2012-6-22 16:42
利用有效数字签名创建控制肉鸡文件。不过把修改系统文件阻止了这个远控木马就没用了。

你用了MD我就算了

wjcharles

win7 x64 管理员帐户，双击自动退出，没有找到生成物

右键管理员身份运行，NIS2012 sonar 杀母体和dll文件





完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/6/22 ( 17:03:22 )
上次使用时间 2012/6/22 ( 17:03:22 )
启动项目 否
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
winrar.exe

创建的文件:
ybeilosvyc.exe
____________________________
文件操作
文件: c:\users\sshss\downloads\18 (1)\ybeilosvyc.exe
已删除
文件: c:\program files\quaahhoou8\storm\setupengine.dll
已删除
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\18 (1)\ybeilosvyc.exe, PID:18472)
未采取操作
事件: PE 文件创建: c:\program files\quaahhoou8\Storm\Setup.exe (执行者 c:\users\sshss\downloads\18 (1)\ybeilosvyc.exe, PID:17044)
未采取操作
事件: PE 文件创建: c:\program files\quaahhoou8\storm\setupengine.dll (执行者 c:\users\sshss\downloads\18 (1)\ybeilosvyc.exe, PID:17044)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\18 (1)\ybeilosvyc.exe, PID:17044)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

wjcharles

酱紫啊~ 发表于 2012-6-22 15:53
过NIS双击，to norton

360卫士拦截

360应该已经入库了，NIS见13L
母体释放的文件是1白+2黑

酱紫啊~

wjcharles 发表于 2012-6-22 17:16
360应该已经入库了，NIS见13L

不错不错

raider520

微点被过！

22667999

编辑掉。。

xiaowuandliu

毒霸

athenaeum

我也试试

Dust-;羅錠

大蜘蛛clean，已上报。