456远控，高质量欢迎测试（8月13号第⑦次更新）now，to or kill？

Flameocean

BootMgr 发表于 2012-8-10 10:52
这个机器上的360版本太老，更新了一把测ND：

1号样本，免杀后，ND联网拦截

非常奇怪，这个样本在8,8根本主防和ND都没有拦截

Flameocean

BootMgr 发表于 2012-8-10 03:46
楼主的那个还是9号下午的啊，哪里更新了，你搞错了吧。

SkinModuleChs.dll这个还是9号的啊，可以拦截的 ...

楼主让测试是主防，云查杀杀了，当时主防确实没有反映

BootMgr

Flameocean 发表于 2012-8-10 14:42
楼主让测试是主防，云查杀杀了，当时主防确实没有反映

你凌晨2点测的是8月9号的样本，主防肯定是可以防的，包括今天10号的样本主防也都可以防，应该是你自己的问题了。

Flameocean

BootMgr 发表于 2012-8-10 14:52
你凌晨2点测的是8月9号的样本，主防肯定是可以防的，包括今天10号的样本主防也都可以防，应该是你自己的问 ...

这个东西以后还是让一个中间的人来说明最好，你懂的，毕竟你是官人

白日余晖

1.OD
很明显加了壳，应该不止一重。PEID没法用懒得脱了。
2.360云报毒
3.文件操作记录：


可以看到:
1.载入了DLL文件C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.3790.4770_x-ww_05FDF087\comctl32.dll，随后立刻关闭句柄。
2.查询文件信息：C:\WINDOWS\system32\IMM32.DLL，大概是想知道系统组件的版本。
3.修改文件信息：C:\WINDOWS\system32\config\software.LOG
4.调用C:\WINDOWS\WindowsShell.Manifest
5.试图查询文件信息：
C:\Documents and Settings\Administrator\桌面\1.CHS.DLL
C:\Documents and Settings\Administrator\桌面\1.CHS
C:\Documents and Settings\Administrator\桌面\1.CH.DLL
C:\Documents and Settings\Administrator\桌面\1.CH
6.调用C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.3790.4770_x-ww_05FDF087
7.后面创建了一些.tmp文件
8.查找360相关文件，并读取360的配置文件（部分操作可能是360注入的DLL所为）
……
比较可疑

Flameocean

BootMgr 发表于 2012-8-10 14:52
你凌晨2点测的是8月9号的样本，主防肯定是可以防的，包括今天10号的样本主防也都可以防，应该是你自己的问 ...

http://pan.baidu.com/netdisk/singlepublic?fid=994728_2039295850
我就是测试这个样本，双击没有反映

BootMgr

Flameocean 发表于 2012-8-10 15:08
http://pan.baidu.com/netdisk/singlepublic?fid=994728_2039295850
我就是测试这个样本，双击没有反映

所以说你自己找原因，双击当然没反应，是双击安装完后，再去玩那个游戏才有恶意行为的，前面的人不都已经讲得很清楚了？

Flameocean

BootMgr 发表于 2012-8-10 15:20
所以说你自己找原因，双击当然没反应，是双击安装完后，再去玩那个游戏才有恶意行为的，前面的人不都已经 ...

我已经玩了，点击了，都弹出输入帐号了，还是没有反映

BootMgr

Flameocean 发表于 2012-8-10 15:21
我已经玩了，点击了，都弹出输入帐号了，还是没有反映

那真是你自己的问题了。。。尤其是昨天的样本和今天的样本，多层次都有拦截，已经找了N个人试过了。

Dust-;羅錠

8.10,Dr.Web killed 2.exe:


1.exe to Dr.Web