连火眼都分析不出的QQ粘虫~火绒~你需要加强下拦截能力了！

显示全部楼层 · 发表于 2013-4-26 21:41:47

本帖最后由倾枫锝渔♂ 于 2013-4-26 22:37 编辑

样本地址：http://bbs.kafan.cn/thread-1556288-1-1.html

感谢 vmoo1 提供的样本

火眼分析地址：http://fireeye.ijinshan.com/analyse.html?md5=566c150e5422c8cf506ae496a79aa78e&sha1=cfffcb644b3b7283f605d8256ff6a472ce2e437f&type=1

火眼没有分析出行为！

火眼是有QQ的~
分析地址
http://fireeye.ijinshan.com/analyse.html?md5=0b4c9352facecd5f966f0852ba047c29#full

实机测试简述：在没有运行QQ之前，没有看到明显的动作（当然~我这半桶水的知识，肯定是看不出的

来喷我~让喷子来的猛烈些吧！

）

现象：

这个要是分代的话，估计不只是第三第四了，之前的都不会影响QQ的的登录，相反只在登录的时候盗取你的密码..
而这个吗，如果你先运行样本后登录QQ，他就强制隐藏登录框，弹出登录错误需要验证那个假窗口，如果已经运行了QQ，那么他就会隐藏你的QQ主面板，强制禁止打开，然后弹出需要验证的假窗口

打开QQ：就看到有读取QQ进程的动作！

ps1：那位高手能讲解下原理~好让我等小白张张见识！
ps2：数字KILL！管家KILL

显示全部楼层 · 发表于 2013-4-26 22:18:26

我能理解为，火眼没有QQ，所以就没行为吗？

显示全部楼层 · 发表于 2013-4-26 22:29:06

js228922190 发表于 2013-4-26 22:18
我能理解为，火眼没有QQ，所以就没行为吗？

不能~~

显示全部楼层 · 发表于 2013-4-26 22:34:59

这个要是分代的话，估计不只是第三第四了，之前的都不会影响QQ的的登录，相反只在登录的时候盗取你的密码..
而这个吗，如果你先运行样本后登录QQ，他就强制隐藏登录框，弹出登录错误需要验证那个假窗口，如果已经运行了QQ，那么他就会隐藏你的QQ主面板，强制禁止打开，然后弹出需要验证的假窗口

显示全部楼层 · 发表于 2013-4-26 22:37:45

vm001 发表于 2013-4-26 22:34
这个要是分代的话，估计不只是第三第四了，之前的都不会影响QQ的的登录，相反只在登录的时候盗取你的密码.. ...

这个我看到了~~

我是想看看样本是通过哪些动作来实现盗取的~

显示全部楼层 · 发表于 2013-4-26 22:40:03

倾枫锝渔♂ 发表于 2013-4-26 22:37
这个我看到了~~

我是想看看样本是通过哪些动作来实现盗取的~

密码框是木马覆盖了的

显示全部楼层 · 发表于 2013-4-26 22:46:50

vm001 发表于 2013-4-26 22:40
密码框是木马覆盖了的

看得出是覆盖~~

但是动作上看不出~~这点恼火~

显示全部楼层 · 发表于 2013-4-26 22:54:03

貌似也是费尔的弱点

显示全部楼层 · 发表于 2013-4-26 22:55:18

zkx6762 发表于 2013-4-26 22:54
貌似也是费尔的弱点

对，费尔被过，这种对本身系统没有恶意行为，只有防火墙来控制拦截

显示全部楼层 · 发表于 2013-4-26 23:19:23

目测楼主标题里面的火绒打错了。。应该是火眼

[讨论] 连火眼都分析不出的QQ粘虫~火绒~你需要加强下拦截能力了！