远控木马（十八）

athenaeum

，

真小读者

raider520 发表于 2012-6-22 17:23
微点被过！

正常

残枫ls

刚下载晚360就删了

503468891

金山毒霸报，自动清除

xyc5238207

费尔V8动态防御杀

sanhu35

2012/6/22 21:45:26    创建文件夹    允许
进程: c:\users\sanhu35\desktop\18\ybeilosvyc.exe
目标: C:\Program Files\nHuO1U8b1i
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/6/22 21:45:28    创建文件夹    允许
进程: c:\users\sanhu35\desktop\18\ybeilosvyc.exe
目标: C:\Program Files\nHuO1U8b1i\Storm
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/6/22 21:45:31    创建文件    允许
进程: c:\users\sanhu35\desktop\18\ybeilosvyc.exe
目标: C:\Program Files\nHuO1U8b1i\Storm\Setup.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012/6/22 21:45:35    创建文件    允许
进程: c:\users\sanhu35\desktop\18\ybeilosvyc.exe
目标: C:\Program Files\nHuO1U8b1i\Storm\SetupEngine.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012/6/22 21:45:37    创建文件    允许
进程: c:\users\sanhu35\desktop\18\ybeilosvyc.exe
目标: C:\Program Files\nHuO1U8b1i\Storm\xxx.jpg
规则: [应用程序组]『询问』病毒测试 -> [文件]*

创建的三个文件



白文件



2012/6/22 21:45:49    创建新进程    允许
进程: c:\users\sanhu35\desktop\18\ybeilosvyc.exe
目标: c:\program files\nhuo1u8b1i\storm\setup.exe
命令行: "C:\Program Files\nHuO1U8b1i\Storm\Setup.exe"
规则: [应用程序组]『询问』病毒测试


2012/6/22 21:46:40    加载动态链接库    允许
进程: c:\program files\nhuo1u8b1i\storm\setup.exe
目标: c:\program files\nhuo1u8b1i\storm\setupengine.dll
规则: [应用程序组]『询问』病毒测试 -> [动态链接库].\*

加载黑DLL




创建指向病毒的快捷方式。

2012/6/22 21:46:47    创建文件夹    允许
进程: c:\program files\nhuo1u8b1i\storm\setup.exe
目标: C:\ProgramData\Microsoft\Windows\Start Menu\系统维护
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/6/22 21:46:50    创建文件    允许
进程: c:\program files\nhuo1u8b1i\storm\setup.exe
目标: C:\ProgramData\Microsoft\Windows\Start Menu\系统维护\维护2.url
规则: [应用程序组]『询问』病毒测试 -> [文件]*

删除文件关联
2012/6/22 21:47:01    创建新进程    阻止
进程: c:\program files\nhuo1u8b1i\storm\setup.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe" delete "HKEY_CLASSES_ROOT\file\shell" /f
规则: [应用程序组]『询问』病毒测试

设置IE安全区域

2012/6/22 21:47:05    创建新进程    阻止
进程: c:\program files\nhuo1u8b1i\storm\setup.exe
目标: c:\windows\system32\reg.exe
命令行: "C:\Windows\System32\reg.exe" add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3" /v 2100 /t reg_DWORD /d 00000000 /f
规则: [应用程序组]『询问』病毒测试

外联
2012/6/22 21:47:37    访问网络    允许
进程: c:\program files\nhuo1u8b1i\storm\setup.exe
目标: TCP [本机 : 56288] ->  [180.153.5.110 : 80 (http)]
规则: [应用程序组]『询问』病毒测试 -> [网络组]所有网络

yangjichao12346

wjcharles 发表于 2012-6-22 17:11
win7 x64 管理员帐户，双击自动退出，没有找到生成物

右键管理员身份运行，NIS2012 sonar 杀母体和dll文 ...

同时64位，同样问题

rsin

此文件进行小处理后，绕过360主防释放了3个文件，但在白exe加载黑dll时360拦截，继续对黑dll进行处理，绕过360的查杀，但是白exe加载黑dll时360依然拦截。
同样测试金山，处理后绕过查杀，以及主防。立即拖入云鉴定，显示转人工

BootLoader

rsin 发表于 2012-6-22 22:54
此文件进行小处理后，绕过360主防释放了3个文件，但在白exe加载黑dll时360拦截，继续对黑dll进行处理，绕过 ...

本来释放文件也不拦截吧，不存在什么绕过。。。

284678343

到目前为止，卡巴斯基未检测到该文件存在威胁