挂马集团开发出一系列wgsdgsdgdsgsd产品，现在给大家介绍一下wgsdgsdgdsgsd的截屏功能

wpy

1993，你的费尔是费尔它前妈生的么

darkwolf_99

firefox3 发表于 2012-12-18 17:14
试试？

win7x64

OA　再次感谢U兄

最后面那个动作，是OA自动拦截的；可能是因为OA已经认为样本为“危险程序”（图1），所以把它定为“Untrusted”，一些行为就自动拦截

后面再贴SSF+SBie





Created:      2012/12/18 22:49:09
Summary:      Program Guard: regsvr32.exe
Description:  C:\Windows\system32\regsvr32.exe was trusted automatically.
Event type:   Program Guard(22)
Event action: Trusted(6)

Created:      2012/12/18 22:49:09
Summary:      Program Guard: regsvr32.exe
Description:  C:\Windows\explorer.exe -> C:\Windows\system32\regsvr32.exe
Event type:   Program Guard(9)
Event action: Allowed(2)

Created:      2012/12/18 22:49:17
Summary:      Program Guard: wgsdgsdgdsgsd.exe
Description:  C:\Windows\explorer.exe -> c:\1\wgsdgsdgdsgsd.exe
Event type:   Program Guard(9)
Event action: Allowed(2)

Created:      2012/12/18 22:49:18
Summary:      Program Guard: wgsdgsdgdsgsd.exe -> regsvr32.exe
Description:  c:\1\wgsdgsdgdsgsd.exe(0) wants to start C:\Windows\SysWOW64\regsvr32.exe(0)
Event type:   Program Guard(9)
Event action: Blocked(3)

firefox3

darkwolf_99 发表于 2012-12-18 23:13
win7x64

OA　再次感谢U兄

这不是拦截成功吗

darkwolf_99

firefox3 发表于 2012-12-18 23:15
这不是拦截成功吗

往下看


惯例——win7x64，SSF（弹窗全允许）+SBie





没发现系统异常




单SSF——只有上面第一个弹窗，没有关于logger的弹窗 ，重启也没发现系统异常


是si马？

hx1997

死板 这是 EXE！！

firefox3

darkwolf_99 发表于 2012-12-18 23:23
往下看

这个马估计是搞错了，要不不会这样

firefox3

hx1997 发表于 2012-12-18 23:27
死板 这是 EXE！！

有一部分行为，comodo拦截到了

hx1997

firefox3 发表于 2012-12-18 23:28
有一部分行为，comodo拦截到了

我说这是 EXE，楼上几位同学 regsvr32 个鬼啊！双击都不会了吗！！

firefox3

hx1997 发表于 2012-12-18 23:29
我说这是 EXE，楼上几位同学 regsvr32 个鬼啊！双击都不会了吗！！

横什么

hx1997

firefox3 发表于 2012-12-18 23:30
横什么

行行行 我好心告诉你们  双击就行了
以后我就不说了 你们自己琢磨  我走了