火眼的一点小BUG

virusdefender

看这个样本

http://bbs.kafan.cn/thread-1436025-1-1.html

那个vbs会释放一个reg文件并导入注册表

reg文件内容

1. Windows Registry Editor Version 5.00
   
2. 
   
3. [HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main]
   
4. "Start Page"="http://www.1149.cn/"
   
5. "Search Bar"="http://www.1149.cn/"
   
6. "Search Page"="http://www.1149.cn/"
   
7. "First Home Page"="http://www.1149.cn/"
   
8. 
   
9. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
   
10. "Default_Page_URL"="http://www.1149.cn/"
    
11. "SearchAssistant"="http://www.1149.cn/"
    
12. "Default_Search_Url"="http://www.1149.cn/"
    
13. 
    
14. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search]
    
15. "SearchAssistant"="http://www.1149.cn/"
    
16. 
    
17. [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
    
18. "Search Page"="http://www.1149.cn/"
    
19. "Search Bar"="http://www.1149.cn/"
    
20. "Start Page"="http://www.1149.cn/"
    
21. "Default_Page_URL"="http://www.1149.cn/"
    
22. "Default_Search_Url"="http://www.1149.cn/"
    
23. 
    
24. [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search]
    
25. "SearchAssistant"="http://www.1149.cn/"
    
26. 
    
27. [HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command]
    
28. @=""C:\\Program Files\\Internet Explorer\\iexplore.exe" http://www.1149.cn/"
    
29. 
    
30. [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command]
    
31. @="C:\\Program Files\\Internet Explorer\\iexplore.exe http://www.1149.cn"

复制代码

那个文件会修改主页和搜索

但是把文件上传到火眼http://fireeye.ijinshan.com/anal ... f9a&type=1#full

但是我们可以看到

1. HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam
   
2. [(NULL)] = [DDDDDDDDDDDDDDD]
   
3. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\HelpSvc\Backup
   
4. [PackageStore] = [\x51\x43\x31\x03\x01...]
   
5. [CRC_Registry] = [0x8dd1e3c3]
   
6. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\PchSvc
   
7. [DataCollection] = [20121108151625.000000-000]
   
8. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM
   
9. [Merger Batching Threshold] = [0x00020000]
   
10. [Merger Throttling Threshold] = [0x0000000a]
    
11. [Merger Release Threshold] = [0x00000005]
    
12. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\State\S-1-5-21-1123561945-789336058-839522115-500\Extension-List\{00000000-0000-0000-0000-000000000000}
    
13. [EndTimeLo] = [0x11c4e7ad]
    
14. [EndTimeHi] = [0x01cdbd99]
    
15. [StartTimeHi] = [0x01cdbd99]
    
16. [StartTimeLo] = [0x11bdc09f]

复制代码

我们reg文件导入的信息呢，从这里面根本看不出来这个文件的真实面目

可能就是火眼在处理vbs文件的一个bug

请把该信息传达给金山官人~~

sxyuqiao

已经传达，感谢反馈

xinqian_Jc

http://fireeye.ijinshan.com/analyse.html?md5=782f1ca1568051ba4434d1ab58875f9a#full

问题已修复，感谢反馈。

高压气瓶

感谢楼主反馈问题，这个问题已经修复了，请在查看下报告：
http://fireeye.ijinshan.com/anal ... 34d1ab58875f9a#full

1768644894

有木马，我的小A在下载是就报发现特洛伊木马了