疑似盗号木马（过大多杀软，请勿实机运行）

显示全部楼层 · 发表于 2013-3-10 13:38:21

本帖最后由 sanhu35 于 2013-3-10 13:44 编辑

vm001 发表于 2013-3-9 18:54
不过这个一直是这样猥琐
利用不同目录的exe和dll交叉加载方法成功绕过毒霸主防
金山拦截失败

首先在下载的地方运行这是1号位置，然后释放到C:\Program Files\baofeng 这是2号位置，
然后又释放到C:\Program Files根目录这是3号位置。
这样交叉躲避云端动态拦截是吧？

只有1号位置加载了自身目录的DLL，2，3号都是交叉加载的

显示全部楼层 · 发表于 2013-3-10 13:53:27

显示全部楼层 · 发表于 2013-3-10 15:15:27

tieshu0608 发表于 2013-3-10 13:53

你的*.dll文件已经被杀掉了，spy.exe当然不能运行了

显示全部楼层 · 发表于 2013-3-10 15:16:38

蓝天二号发表于 2013-3-10 08:45
火绒解压报毒。。

*.dll已经没有了，就会这样

显示全部楼层 · 发表于 2013-3-10 15:56:56

vm001 发表于 2013-3-10 13:05
这个病毒dll从来就没过过金山和360的QVM，但是作者换了个手法就过掉了他们的防御

不好意思，我是小白，不懂，只是玩玩儿，呵呵

显示全部楼层 · 发表于 2013-3-10 16:10:13

测试一下，山山的主防可以拦截

显示全部楼层 · 发表于 2013-3-10 16:47:52

vm001 发表于 2013-3-10 13:05
这个病毒dll从来就没过过金山和360的QVM，但是作者换了个手法就过掉了他们的防御

所以说实时监控有必要

显示全部楼层 · 发表于 2013-3-10 18:49:49

本帖最后由 adair 于 2013-3-10 23:45 编辑

没装暴风。我把 explorer 限死了，毛豆只记录到2个动作

不知用了什么方式，运行后 explorer会修改一个注册表项。在http://bbs.kafan.cn/thread-1457640-1-1.html 中的 FlashPlayer_11_4_update_for_Win.rar也会同样动作让explorer 修改这个注册表项

，

显示全部楼层 · 发表于 2013-3-10 18:58:55

显示全部楼层 · 发表于 2013-3-10 20:14:09

我用猎豹浏览器下载的时候，没下完呢就被报木马拦截啦

[可疑文件] 疑似盗号木马（过大多杀软，请勿实机运行）