8C3A5B[MD5:]

显示全部楼层 · 发表于 2012-10-8 10:58:20

本帖最后由 xmsword 于 2012-10-8 11:47 编辑

来源：QQ群共享
说明：
我解压缩后，由于有压缩密码。所以本机金山卫士不能够上传到云端分析文件是否安全。个人认为从文件名看比较可疑接着解压密码也是压缩包内的记事本文件名。我当独上传了压缩包中的.EXE可执行文件到了火眼和virustatol进行分析。
火眼分析结果：
http://fireeye.ijinshan.com/analyse.html?md5=7b8ded23bc602337cb25ab62ef11ed24&type=1
virustatol也没有一款杀软报毒。
接着将完整的压缩包上传到了virustatol，有四款杀毒软件报毒。

virustatol：https://www.virustotal.com/file/001b5693027781daecebf7cbb748f4ef77de096660483aeb7d46b12c000a47f1/analysis/1349662516/

AVG Startpage.ROV
Ikarus Trojan.Win32.StartPage
Symantec WS.Reputation.1
TrendMicro-HouseCall TROJ_GEN.F47V1004
这个压缩包文件包括：
两个jpg格式图片，一个XML文件，一个可执行程序。
大家认为这个文件是否安全呢？

一点感想：
金山卫士的下载安全保护功能是否可以这样绕过，简单设置一个压缩包密码。这样无法上传到云端分析。如果这个文件含有恶意代码，而且经过了免杀处理。这样，暂时避开了杀毒软件的文件监控（我使用金山卫士进行自定义扫描并没有报毒，）。恶意软件是否可以以此运行。
样本下载：
http://www.ctdisk.com/file/9898842
解压密码：
virus

显示全部楼层 · 发表于 2012-10-8 11:07:47

解压密码用12345解压不了啊

显示全部楼层 · 发表于 2012-10-8 11:10:37

绅博周幸发表于 2012-10-8 11:07
解压密码用12345解压不了啊

那是原始文件来源时的密码。现在的密码是
I first virus sample

显示全部楼层 · 发表于 2012-10-8 11:13:08

xmsword 发表于 2012-10-8 11:10
那是原始文件来源时的密码。现在的密码是
I first virus sample

你再看看，用I first virus sample还是解压不了

显示全部楼层 · 发表于 2012-10-8 11:14:34

绅博周幸发表于 2012-10-8 11:13
你再看看，用I first virus sample还是解压不了

等等我重新上传。

显示全部楼层 · 发表于 2012-10-8 11:24:05

绅博周幸发表于 2012-10-8 11:13
你再看看，用I first virus sample还是解压不了

再试试

显示全部楼层 · 发表于 2012-10-8 11:34:24

绅博周幸发表于 2012-10-8 11:13
你再看看，用I first virus sample还是解压不了

解码密码：virus

显示全部楼层 · 发表于 2012-10-8 11:46:18

QQ群蠕虫

显示全部楼层 · 发表于 2012-10-8 11:54:26

vm001 发表于 2012-10-8 11:46
QQ群蠕虫

怎么看出来的？

显示全部楼层 · 发表于 2012-10-8 12:04:41

iyinyt 发表于 2012-10-8 11:54
怎么看出来的？

确实是QQ黏虫，已经上报BD了

[可疑文件] 8C3A5B[MD5:]

本帖子中包含更多资源

本帖子中包含更多资源