Windows清理助手官网被挂马 20点挂马问题已经解决

小柯安全

今天晚上在19点左右我在访问Windows清理助手官网的时候QQ管家突然弹出提示说拦截到木马 我就让其它安装有安全软件的朋友测试了一下 毒霸也拦截了 据知情人爆料 挂马时间在18点左右  20点挂马问题解决  

被挂木马的火眼分析报告
http://fireeye.ijinshan.com/anal ... 8881e90399176a#full

md分析日志

2012-12-6 20:22:23    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\love.exe
命令行: "C:\Documents and Settings\Administrator\桌面\love.exe"
规则: [应用程序]*

2012-12-6 20:22:23    创建文件    允许
进程: c:\documents and settings\administrator\桌面\love.exe
目标: C:\windows\xinstall2953900.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2012-12-6 20:22:24    创建文件    允许
进程: c:\documents and settings\administrator\桌面\love.exe
目标: C:\Win_lj.ini
规则: [文件]?:\

2012-12-6 20:22:24    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\Start
值: 0x00000003(3)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2012-12-6 20:22:24    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\love.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip\DLLPath
值: C:\windows\xinstall2953900.dll
规则: [注册表组]网络设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\*; DLLPath

2012-12-6 20:22:25    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Wshvfh Rusabvtt Hrh
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2012-12-6 20:22:25    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Wshvfh Rusabvtt Hrh\Start
值: 0x00000002(2)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2012-12-6 20:22:25    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Wshvfh Rusabvtt Hrh\ImagePath
值: %SystemRoot%\System32\svchost.exe -k sougou
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2012-12-6 20:22:25    创建文件    允许
进程: c:\windows\system32\svchost.exe
目标: C:\Net-Temp.ini
规则: [文件]?:\

2012-12-6 20:22:26    使用配置单元文件替换注册表项    允许
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\26488624
配置单元: C:\Net-Temp.ini
规则: [应用程序]c:\windows\system32\svchost.exe

2012-12-6 20:22:26    创建文件    允许
进程: c:\windows\system32\svchost.exe
目标: C:\Program Files\Edjy\Fntrplika.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2012-12-6 20:22:27    删除文件    允许
进程: c:\windows\system32\svchost.exe
目标: C:\Documents and Settings\Administrator\桌面\love.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2012-12-6 20:22:27    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1026] ->  [61.49.23.18 : 123]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]



截图  





我看了一下网页源代码 发现了挂马地址  

a330391

最近事情貌似很多哦，之前费尔被挂马了，现在清理助手

愛，不簡單

没报啊

风葶云

貌似跟费尔挂的马很相似

至尊潮流

唉。。最近好乱
不过我刚刚进去貌似解除了，源文件也没看到。

小柯安全

愛，不簡單 发表于 2012-12-6 20:00
没报啊

目前挂马问题已经解决

m220011

已经失效

原挂马地址

HttpFileServer v2.3 beta 271 随波汉化版
服务器时间: 2012-12-6 20:00:15
在线时长: 01:42:58

完整路径: c:\users\XXX\downloads\未确认 855240.crdownload
威胁: Suspicious.Cloud.5.D
____________________________
____________________________

在电脑上的创建时间 
不可用


上次使用时间 
2012/12/6 ( 20:02:44 )


启动项目 
否


已启动 
否

____________________________
____________________________
未知
诺顿社区中使用此文件的用户数量: 未知
____________________________
未知
此文件版本当前未知。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
威胁类型: 启发式病毒。 根据恶意软件启发式技术检测威胁。
____________________________


hxxp://61.49.23.18:8080/love.exe



已下载文件未确认 855240.crdownload威胁名称: ��Suspicious.Cloud.5.D

�� 自��61.49.23.18

file origin tree

��






____________________________
文件操作
未确认 855240.crdownload
已删除


平均资源使用率:
未知


平均CPU 使用率:
未知


平均内存使用率:
未知


____________________________
文件指纹 - SHA:
8e604a677d12b49ab7d3c1921bc7fce839a59624dd0b9b48dd24c2dd56e1811a
____________________________
文件指纹 - MD5:
2c7c05f1983d00823a8881e90399176a
____________________________

Lintel-TR

火眼报告：http://fireeye.ijinshan.com/anal ... 8881e90399176a#full

462860803

- -,闹哪样

sy0923

看来我来晚了