【更正】仿冒QQ医生，白加黑 virustotal(3 / 37)

uu005

金山火眼
http://fireeye.ijinshan.com/analyse.html?md5=deeeb67f15297abf186de76a56c26f7a&type=1

基本信息 文件名称：re.rar文件哈希：deeeb67f15297abf186de76a56c26f7a文件大小：331465字节创建时间：2012-08-23 21:09:06文件类型：RARPEID信息：Not a valid PE file文件注释：公司描述：文件描述：文件版本：版权所有：合法商标：原始文件名：产品名称：产品版本：火眼点评       查找安全软件进程;检测是否存在指定注册表键;提升权限;创建互斥体;搜索指定窗口;创建进程;疑似捆绑多个文件，警惕流氓软件捆绑推广或病毒捆绑传播（需与正常安装包区分开）;疑似查找杀软进程
危险行为监控 行为描述：查找安全软件进程
附加信息：360tray.exe
zhudongfangyu.exe
其他行为监控 行为描述：疑似查找杀软进程
附加信息：QQDOCTOR.EXE [QQ医生相关进程]
QQDOCTORRTP.EXE [QQ医生相关进程]
QQDRNETMON.EXE [QQ医生相关进程]
行为描述：疑似捆绑多个文件，警惕流氓软件捆绑推广或病毒捆绑传播（需与正常安装包区分开）
附加信息：qqpcleakscan.exe
行为描述：创建进程
附加信息：%ProgramFiles%\QQDoctor\QQDoctor\QQPCLeakScan.exe
%system%\rundll32.exe
行为描述：搜索指定窗口
附加信息：["" , "TRAY_WINDOW_{346073DF-4150-4fbf-8509-8F8AC4EB98E9}"]
["ShImgVw:CPreviewWnd" , ""]
["kxetray" , ""]
行为描述：创建互斥体
附加信息："QQPCLEAKSCAN_SZCN_00"
"_!SHMSFTHISTORY!_"
"c:!documents and settings!administrator!local settings!history!history.ie5!mshist012012082320120824!"
"zhao8520.3322.org"
行为描述：提升权限
附加信息："SeDebugPrivilege"
行为描述：检测是否存在指定注册表键
附加信息：HKEY_CURRENT_USER\Software\Tencent\QQSG\SYS
文件操作监控 操作 文件MD5 文件大小 文件路径
新增 53a3c6e8c3ed3d8cdb5c72bd29cf18fe 434552 %ProgramFiles%\QQDoctor\QQDoctor\Q...
新增 a99dec6a037a430d13b0643a24b0b416 33710080 %ProgramFiles%\QQDoctor\QQDoctor\T...
进程操作监控 创建进程：xxx.bmp启动参数：无
创建进程：%ProgramFiles%\QQDoctor\QQDoctor\QQPCLeakScan.exe启动参数：无
注册表监控 新增 删除 修改 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.bmp\OpenWithList网络监控 网络操作【获取主机信息】vulfile.masterconn.qq.com【获取主机信息】www.ip138.com【连接主机】127.0.0.1:8520【连接主机】134.89.133.172:80

uu005

uu005 发表于 2012-8-25 12:20
金山火眼
http://fireeye.ijinshan.com/analyse.html?md5=deeeb67f15297abf186de76a56c26f7a&type=1

看来专门针对360的