【更正】仿冒QQ医生，白加黑 virustotal(3 / 37)

显示全部楼层 · 发表于 2012-8-20 12:09:47

llzy3575 发表于 2012-8-20 12:08
我这边也没发现进一步的行为，联网后就没动作了

这个是日志，联网访问的是vulfile.masterconn.qq.com 134.89.133.172:80，这个是TX的网站啊

显示全部楼层 · 发表于 2012-8-20 12:09:53

Tomin2009 发表于 2012-8-20 11:54
谢谢回复
没有啊

是运行之后会生成一个带有QQ签名的exe
不是你这个文件有QQ签名

显示全部楼层 · 发表于 2012-8-20 12:10:40

消停发表于 2012-8-20 11:08
双击过诺顿运行后样本报错退出！在你说的路径下也没有QQdoctor文件夹，全盘搜索也没有

安装.net4.0库才行···

显示全部楼层 · 发表于 2012-8-20 12:15:22

huicuan 发表于 2012-8-20 11:57
你用的是什么安软啊，我怎么看的这么眼熟

麦咖啡

显示全部楼层 · 发表于 2012-8-20 12:17:26

大金鱼先生发表于 2012-8-20 12:09
这个是日志，联网访问的是vulfile.masterconn.qq.com 134.89.133.172:80，这个是TX的网站啊

所以说诡异了，我这里访问了另一个深圳的ip，可能也是腾讯的
貌似这个是QQ和DNF的盗号木马，据受害者称

显示全部楼层 · 发表于 2012-8-20 12:18:20

llzy3575 发表于 2012-8-20 12:17
所以说诡异了，我这里访问了另一个深圳的ip，可能也是腾讯的
貌似这个是QQ和DNF的盗号木马，据受害者称

看行为是查找了dnf的注册表和目录，但貌似没发送啊，到时候抓包看看

显示全部楼层 · 发表于 2012-8-20 12:21:54

Baby丶小曦发表于 2012-8-20 12:15
麦咖啡

我当时看着像麦咖啡就是不敢确认咖啡的激活码好找不咖啡怎么样啊

显示全部楼层 · 发表于 2012-8-20 12:31:15

大金鱼先生发表于 2012-8-20 12:10
安装.net4.0库才行···

原来如此

显示全部楼层 · 发表于 2012-8-20 12:38:52

llzy3575 发表于 2012-8-20 12:02
还是报错退出么

火眼分析是这样的

显示全部楼层 · 发表于 2012-8-20 12:40:49

284678343 发表于 2012-8-20 12:38
火眼分析是这样的

火眼上没有.net4.0的运行库的

[病毒样本] 【更正】仿冒QQ医生，白加黑 virustotal(3 / 37)