人人都是病毒专家 · 上传样本火眼鉴定活动

明镜星空

ibc 发表于 2012-6-27 15:32
有些木马需要弹出界面来交互触发的，这样的木马火眼怎么分析

一般只要点下一步安装什么的的木马还是可以分析的。如果实在太复杂，要勾选一大堆选项的就比较难了。

一般木马不会太复杂，否则怎么让小白们中招呢。一般直接运行就会触发了。

明镜星空

渲染离别 发表于 2012-6-27 15:27
报告:https://fireeye.ijinshan.com/analyse.html?md5=a2b335fcc7702fc65598200253c7a52e
行为描述：创建互 ...

请给一下样本链接，否则不计分哦

渲染离别

明镜星空 发表于 2012-6-27 16:05
请给一下样本链接，否则不计分哦

样本是Q群上的！

明镜星空

渲染离别 发表于 2012-6-27 16:08
样本是Q群上的！

那上传到网盘给一下地址，谢谢！

渲染离别

明镜星空 发表于 2012-6-27 16:09
那上传到网盘给一下地址，谢谢！

http://dl.dbank.com/c0ncqt1qv2

士兵许三多

火眼报告：https://fireeye.ijinshan.com/ana ... c066f6a0524f3535c6c
基本信息：文件名称：文档.exe
文件哈希：33ea0dbaa098cc066f6a0524f3535c6c
文件大小：137728字节
创建时间：2012-06-20 15:44:59
文件类型：EXE
PEID信息：ASPack 2.12 -> Alexey Solodovnikov


文件描述：NewProject Microsoft 基础类应用程序
文件版本：1, 0, 0, 1
版权所有：版权所有 (C) 2012

原始文件名：NewProject.EXE
产品名称：NewProject 应用程序
产品版本：1, 0, 0, 1
危险行为监控：行为描述：疑似QQ盗号木马

附加信息：
无
其他行为监控：行为描述：搜索指定窗口

附加信息：
["" , "QQ2011"]

["" , "QQ2012"]
样本来源：http://bbs.kafan.cn/thread-1311613-1-1.html

宇中之神

1.样本地址：http://bbs.kafan.cn/thread-1316619-1-1.html
2.截图：



3.火眼报告地址：https://fireeye.ijinshan.com/ana ... 30273a7ff434a6767bf

wangxy87

报告：http://fireeye.ijinshan.com/anal ... 21194511d655dc79a46
行为描述：读取原始系统dll内容
附加信息：
%system%\shell32.dll
行为描述：查找文件
附加信息：
"%SampleStore%\*.*"
操作        文件MD5        文件大小        文件路径
新增        b93189cd3502f4a42994e2284bcfaeb0        2048        %temp%\MBX@50C@1FD3200.###
注册表监控 新增删除修改
HKEY_CURRENT_USER\Software\EasyBoot Systems
HKEY_CURRENT_USER\Software\EasyBoot Systems\UltraISO
HKEY_CURRENT_USER\Software\EasyBoot Systems\UltraISO\5.0
[Registration] = [c4b69bcbf1fcc6c7b4d5cbc0d596cfde]
[UserName] = [drag0n]

宇中之神

这个看不到行为
1.样本地址：http://bbs.kafan.cn/thread-1317427-1-1.html
2.运行截图：无
3.火眼报告：https://fireeye.ijinshan.com/ana ... 3b351d22c8c8b624d15

宇中之神

1.样本地址：http://bbs.kafan.cn/forum.php?mo ... id=1317431#lastpost
2.截图：

3.火眼报告：
http://fireeye.ijinshan.com/anal ... 13c80691a70a99ecbea