你敢运行这个DLL吗？3890229.dll a大测试 穿破 comodo ，webcam logger

ELOHIM

说一下过程，双击病毒后，提示要联网，被拒绝，然后MSE紧急通知检测到病毒，需要立即清理。
因为我想看一下运行效果，所以推迟没有点击。

so ..被锁屏。。

注销，登录，MSE第一时间将开机启动项game over并查杀其他相关javascript脚本。。

然后提示重启系统完成查杀过程。MSE 温馨tips：记得重启前保存数据以防丢失哦。。

firefox3

ELOHIM 发表于 2013-2-17 22:20
轻轻松松。危言耸听。。哈哈。。

请你礼貌些说出我哪里危言耸听了？

ELOHIM

firefox3 发表于 2013-2-17 22:31
请你礼貌些说出我哪里危言耸听了？

我错了，大牛。。
艾姆骚瑞。。。

样本很给力。。

hddu

firefox3 发表于 2013-2-17 22:19
贴出来

2013-02-17 21:58:07    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\runctf.lnk
触发规则:应用程序规则->rundll32设置->%windir%\system32\rundll32.exe->?:\Documents and Settings\*\*菜单\程序\启动*\*


2013-02-17 21:58:10    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
注册表名称:1609
触发规则:应用程序规则->系统程序(二)->%windir%\system32\rundll32.exe->*


2013-02-17 21:58:11    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
注册表名称:1609
触发规则:应用程序规则->系统程序(二)->%windir%\system32\rundll32.exe->*


2013-02-17 21:58:12    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2
注册表名称:1609
触发规则:应用程序规则->系统程序(二)->%windir%\system32\rundll32.exe->*


2013-02-17 21:58:14    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
注册表名称:1609
触发规则:应用程序规则->系统程序(二)->%windir%\system32\rundll32.exe->*


2013-02-17 21:58:15    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4
注册表名称:1609
触发规则:应用程序规则->系统程序(二)->%windir%\system32\rundll32.exe->*


2013-02-17 21:58:15    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*


2013-02-17 21:58:15    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*


2013-02-17 21:58:15    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*

firefox3

2013-02-17 21:58:07    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\runctf.lnk
触发规则:应用程序规则->rundll32设置->%windir%\system32\rundll32.exe->?:\Documents and Settings\*\*菜单\程序\启动*\*

进程路径:C:\WINDOWS\system32\rundll32.exe你知道背后是哪个？

ELOHIM

firefox3 发表于 2013-2-17 22:53
2013-02-17 21:58:07    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\rundll32. ...

应该是一个带签名的可信程序。

hddu

firefox3 发表于 2013-2-17 22:53
2013-02-17 21:58:07    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\rundll32. ...

是不是这个？
C:\WINDOWS\system32\rundll32.exe F:\virus\3890229\3890229.dll,M1N1
如不是，俺投降。

a256886572008

這次，他多了一步。

2013-02-17 23:51:57   C:\virus\3890229\3890229.dll   Sandboxed As   Partially Limited   

2013-02-17 23:52:00   C:\Program Files\Internet Explorer\IEXPLORE.EXE   Sandboxed As   Partially Limited   

2013-02-17 23:52:04   C:\WINDOWS\system32\ctfmon.exe   Sandboxed As   Partially Limited   

2013-02-17 23:52:05   C:\virus\3890229\3890229.dll   Modify File   C:\Documents and Settings\Roger\「開始」功能表\程式集\啟動\runctf.lnk   

2013-02-17 23:53:56   C:\virus\3890229\3890229.dll   Modify Key   HKLM\SYSTEM\ControlSet001\Services\winmgmt\Parameters\ServiceDll  

要修復，把 ServiceDll 的路徑改回 C:\WINDOWS\system32\wbem\wmisvc.dll 即可。

firefox3

a256886572008 发表于 2013-2-18 00:03
這次，他多了一步。

多谢a大解答

firefox3

hddu 发表于 2013-2-17 23:28
是不是这个？
C:\WINDOWS\system32\rundll32.exe F:\virus\3890229\3890229.dll,M1N1
如不是，俺投降。

没命令行你能看得出？