今天现出锅放入白+黑，不要实机运行啊

Ｔo_c_c_i_.

lz你还说我，别放了，都被火绒杀烂的还放有什么意义！弄给挑战的比如完爆国内的杀软！！

vm001

Ｔo_c_c_i_. 发表于 2013-3-17 09:50
lz你还说我，别放了，都被火绒杀烂的还放有什么意义！弄给挑战的比如完爆国内的杀软！！

呀，我可没说我放的样本完爆国内..俺发样本的目的和你不一样

这个样本是新免杀360和金山的，由于这2个厂家的用户量大，所以用户会受到威胁，故此发出来希望这2个厂商和其他一些厂商迅速解决（昨晚金山就解决了）

而火绒杀不杀对作者对用户都没多大影响，也保护不了广大用户，原因2个，火绒用户量才几个？根本不是作者的免杀对象...

Nblock

拒绝 限制




对付白加黑得看微点内测版

Nblock

现在的防御都治不了本 内测版mp走在了前面。

vm001

Nblock 发表于 2013-3-17 10:48
现在的防御都治不了本 内测版mp走在了前面。

好有进步

vm001

Nblock 发表于 2013-3-17 10:43
拒绝 限制

怎么推荐是放行？

左手

2013-3-17 11:05:48    创建文件夹    允许
进程: c:\documents and settings\administrator\桌面\新建文件夹\stormplayer.exe
目标: C:\Program Files\BaoFeng
规则: [文件组]只读磁盘 -> [文件]c:\*

2013-3-17 11:06:01    创建文件    允许
进程: c:\documents and settings\administrator\桌面\新建文件夹\stormplayer.exe
目标: C:\Program Files\BaoFeng\StormPlayer.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2013-3-17 11:06:35    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\新建文件夹\stormplayer.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2013-3-17 11:06:35    修改文件    允许
进程: c:\documents and settings\administrator\桌面\新建文件夹\stormplayer.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2013-3-17 11:06:35    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\新建文件夹\stormplayer.exe
目标: c:\windows\system32\rundll32.exe
命令行: "C:\WINDOWS\system32\rundll32.exe" C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\Documents and Settings\Administrator\桌面\新建文件夹\xxx.bmp
规则: [应用程序组]主动防御_敏感命令 -> [应用程序]* -> [子应用程序]c:\windows\system32\rundll32.exe

2013-3-17 11:06:40    访问网络    允许
进程: c:\documents and settings\administrator\桌面\新建文件夹\stormplayer.exe
目标: TCP [本机 : 9000] ->  [122.225.108.171 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

陈识宇

饭巴拉 发表于 2013-3-17 05:54
这个样本牛B，数字安全卫士扫描没反应，微点右键扫描不起作用，什么样本那么强？不知道卡巴行不行

这种木马，不会自动删你的文件!我试过多次，是虚拟机上没有任何防御软件的条件下试的！
可能是个远控木马，由控制端的人删的。

hddu

2013-03-17 11:02:26    创建文件      操作:允许
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
文件路径:C:\Program Files\BaoFeng
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-03-17 11:02:26    创建文件      操作:允许
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
文件路径:C:\Program Files\BaoFeng\StormPlayer.dll
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.dll


2013-03-17 11:02:35    创建文件      操作:允许
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
文件路径:C:\Program Files\BaoFeng\StormPlayer.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe


2013-03-17 11:02:36    运行应用程序      操作:允许
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen F:\virus\新建文件夹\新建文件夹\xxx.bmp
触发规则:所有程序规则->Rundll32设置->*\rundll32.exe


2013-03-17 11:05:36    创建注册表值      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:[Default]
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run


2013-03-17 11:16:34    关闭/重启系统      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 11:20:04    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 11:20:05    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 11:20:06    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 11:20:06    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 11:20:06    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 11:20:06    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 11:20:06    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 11:20:06    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*

......重复同一动作：不停黑瓶，动动鼠标恢复。.........

2013-03-17 11:20:17    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*

受不了，动作结束StormPlayer.exe进程。

hddu

2013-03-17 12:37:23    创建文件      操作:允许
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
文件路径:C:\Program Files\BaoFeng
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-03-17 12:37:23    创建文件      操作:允许
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
文件路径:C:\Program Files\BaoFeng\StormPlayer.dll
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.dll


2013-03-17 12:37:29    创建文件      操作:允许
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
文件路径:C:\Program Files\BaoFeng\StormPlayer.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe


2013-03-17 12:37:30    运行应用程序      操作:允许
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen F:\virus\新建文件夹\新建文件夹\xxx.bmp
触发规则:所有程序规则->Rundll32设置->*\rundll32.exe


2013-03-17 12:40:30    创建注册表值      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:[Default]
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run


2013-03-17 12:40:46    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 12:40:46    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 12:40:47    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 12:40:47    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


.......重复进行同一动作........

2013-03-17 12:41:28    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 12:41:28    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 12:41:29    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 12:42:19    关闭/重启系统      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


2013-03-17 12:42:19    关闭/重启系统      操作:阻止
进程路径:F:\virus\新建文件夹\新建文件夹\StormPlayer.exe

触发规则:所有程序规则->*


可悲可笑的屁论：允许模拟键盘鼠标，系统文件悲剧，阻止系统重启成空谈。
                        阻止 模拟键盘鼠标，无法允许或阻止系统重启，文件都不会悲剧。