这回可真要喷360卫士了

显示全部楼层 · 发表于 2013-3-10 12:54:32

lvhaoran123 发表于 2013-3-10 12:49
远控控制端和客户端之间的通信有没有什么特殊的特征？远控有没有什么特殊的特征？

应该有吧，这个不懂
他的程序里好像固定了14.210.222.180这个地址
只是我功夫太浅，不敢肯定

显示全部楼层 · 发表于 2013-3-10 12:55:14

你之前放行了一次~

显示全部楼层 · 发表于 2013-3-10 12:55:40

liangxy 发表于 2013-3-10 12:46
这也太没技术含量了啊！！！

不是没技术含量，动态IP容易被拦截，静态的杀软不敢轻易拦截

显示全部楼层 · 发表于 2013-3-10 12:56:52

zhq445078388 发表于 2013-3-10 12:55
你之前放行了一次~

这个和我之前放行没关系，３６０拦截的那个地址不是远控地址

显示全部楼层 · 发表于 2013-3-11 01:50:44

本帖最后由 CiInitialize 于 2013-3-11 02:04 编辑

vm001 发表于 2013-3-10 12:56
这个和我之前放行没关系，３６０拦截的那个地址不是远控地址

动静都有，默认走动的，动的拿不到就走静的。

这个样本我们已经分析了，明天确定下没拦截的原因以制定修复策略，感谢楼主测试反馈。

另外，这个样本若以StromPlayer.exe启动，就不会用那个静态的地址，所以楼主会有这样的实验结果

这样本的正常加载顺序是:

spy.exe+stromplayer.dll(version1)->load xxx.bmp shellcode->load %program files%\baofeng\stromplayer.dll(version2, big file , from xxx.bmp)->map and run encrypted final dll(only in memory)

显示全部楼层 · 发表于 2013-3-11 10:24:14

CiInitialize 发表于 2013-3-11 01:50
动静都有，默认走动的，动的拿不到就走静的。

这个样本我们已经分析了，明天确定下没拦截的原因以制 ...

StromPlayer.exe启动也会出现静态IP

不过不管他是什么，尽快拿下他，现在特征过不了都开始想各种方法了

显示全部楼层 · 发表于 2013-3-12 15:51:39

又看到威武的MJ了

显示全部楼层 · 发表于 2013-3-12 19:35:09

欢迎这样有见地的技术贴，拿事实说话，探讨技术。

显示全部楼层 · 发表于 2013-3-13 11:45:41

笑了！
缺少技术底蕴没办法。

显示全部楼层 · 发表于 2013-3-13 23:27:55

百地三太夫发表于 2013-3-13 11:45
笑了！
缺少技术底蕴没办法。

360的云响应速度在全世界也是数一数二的，在样本区360表现算是好的了。居然说360没技术底蕴。

[砖头] 这回可真要喷360卫士了

评分