这种情况，是正常的还是沙箱被穿透了？

显示全部楼层 · 发表于 2012-8-7 11:07:02

本帖最后由 hwl573452046 于 2012-8-7 13:59 编辑

样本区帖子地址：http://bbs.kafan.cn/thread-1347499-1-1.html PS：此样本常规扫描免杀做得不错，截至今日09点12分VirSCAN.org仅有2款安软报毒

该样本是伪装QQ重新登录窗口的盗号木马（本机测试样本并未结束QQ进程，但是会隐藏QQ界面使QQ界面无法正常显示出来，沙箱和实机测试都是这样），获取密码后，调用IE进行联网上传信息

沙箱运行：解压后右键360沙箱运行，等待至少8秒后在桌面左上角出现伪装QQ重新登录窗口（账号输入栏已显示本人QQ号），随便输入个密码，点击“确定”，窗口消失全程360沙箱及防火墙未出现任何提示（如果在测试时输入的是真密码，会不会真被送出去？）

实机运行：过程同上，360网络防护拦截

疑问：样本最先在360沙箱内运行，但是获取并在伪装窗口内显示了本人的QQ号，还有将在外面运行的QQ界面强制隐藏（虽然隐藏得不是很完美）

是正常的还是沙箱被穿透了？
---------------------------------------------------------------分割线------------------------------------------------------------

开启64位系统强力加固模式以后：果然很不一样

沙箱运行样本，直接出现提示

随便输入密码，点“确定”，约2.75秒后出现拦截弹窗（拦截为什么会有时差，进行了云端交互？）

另求MJ解答：沙箱内的程序直接或间接的联网行为是被允许的吗？

显示全部楼层 · 发表于 2012-8-7 11:16:18

在我这里QQ没有被隐藏也没有读到我的QQ号....

显示全部楼层 · 发表于 2012-8-7 11:18:29

本帖最后由酱紫啊~ 于 2012-8-7 11:26 编辑

布吉岛，等mj；另外，你懂得，打劫。

显示全部楼层 · 发表于 2012-8-7 11:26:04

本帖最后由 hejining 于 2012-8-7 12:00 编辑

沙箱内的程序是允许调用外部文件的吧……(当然这个文件也会进入沙箱)

MJ在13楼

显示全部楼层 · 发表于 2012-8-7 11:33:05

坐等mj

显示全部楼层 · 发表于 2012-8-7 11:35:45

本帖最后由 hwl573452046 于 2012-8-7 11:41 编辑

hejining 发表于 2012-8-7 11:26
不是穿透，沙箱内的程序是允许调用外部文件的(当然这个文件也会进入沙箱)

感谢解答那么，样本是如何做到将外面的QQ程序界面给隐藏的呢？（本来我的QQ状态是桌面边缘隐藏的，但是运行样本后QQ就被完全隐藏了。点击任务栏QQ图标，桌面左上角出现QQ界面的一条残边，双击残边，界面完整地在用户自定义的的位置出现但是一闪即逝，又没了 QQ进程一直都是正常存在的）

显示全部楼层 · 发表于 2012-8-7 11:42:35

hwl573452046 发表于 2012-8-7 11:35
感谢解答那么，样本是如何做到将外面的QQ程序界面给隐藏的呢？

QQ在沙箱外？我这里测试没有隐藏~

显示全部楼层 · 发表于 2012-8-7 11:44:46

64位要开强力加固模式

显示全部楼层 · 发表于 2012-8-7 11:44:51

来看帖等MJ普及，顺便学习的

显示全部楼层 · 发表于 2012-8-7 11:45:13

hejining 发表于 2012-8-7 11:42
QQ在沙箱外？我这里测试没有隐藏~

是的一开始就是把样本丢在沙箱里测试的 QQ在外面，界面被隐藏 PS：QQ版本2011

[讨论] 这种情况，是正常的还是沙箱被穿透了？

本帖子中包含更多资源

评分

评分