元旦了 俺仅代表远控作者以及俺本人祝大家新年快乐哦

wqcaokeyinwq

过微点主防



和以前的样本的区别在于：他没有联网行为。。

小柯安全

wqcaokeyinwq 发表于 2013-12-31 21:19
过微点主防

小黑客在陪妹子

笨死的火星猪

tg123321 发表于 2013-12-31 17:34
Comodo HIPS 被过（实机）

你这啥症状？
我这没运行，解压直接中标，被加驱，C:\WINDOWS\system32下多出一个2778.sys，一会儿后自动消失。
注册表
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\2778]
"Type"=dword:00000001
"Start"=dword:00000003
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):5c,00,3f,00,3f,00,5c,00,43,00,3a,00,5c,00,57,00,49,00,4e,00,\
  44,00,4f,00,57,00,53,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,\
  00,5c,00,32,00,37,00,37,00,38,00,2e,00,73,00,79,00,73,00,00,00
"DisplayName"="2778"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\2778\Security]
"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
  00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
  00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
  05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
  20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
  00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
  00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\2778\Enum]
"0"="Root\\LEGACY_2778\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001

被添加，桌面IE双击变新建快捷方式，快捷启动栏被添加IE快捷方式～～
别的暂时没发现什么咯

tg123321

笨死的火星猪 发表于 2013-12-31 22:17
你这啥症状？
我这没运行，解压直接中标，被加驱，C:\WINDOWS\system32下多出一个2778.sys，一会儿后自 ...

之前也发现桌面IE不正常，用360急救箱恢复之~

jayavira

小柯安全 发表于 2013-12-31 17:34
这个貌似不是新的基因检测 如果exe的那种卡巴可以识别才叫新的

那么请问这叫什么呢？

小柯安全

jayavira 发表于 2014-1-1 06:54
那么请问这叫什么呢？

这个拦截不是一个多星期了吗 那就不能算新的了

jayavira

小柯安全 发表于 2014-1-1 16:53
这个拦截不是一个多星期了吗 那就不能算新的了

你看看后面的编码吧。明显就是新命名的
上个星期的编码是bf，而现在是bo
这还不是新的，那什么才叫新的

风爱朴2

1、


2、

仙剑问情

火绒无压力

小飞侠.net

Avast                 20140101  OK
Ikarus                 20140101  OK
Rising                 20140101  OK

文件名: D:\360安全浏览器下载\55.7z
文件大小: 138286 字节 (135.04 KB)
修改日期: 2014-01-01 22:56
MD5: 26935b4437ef6b50580f5e9bab06b704
SHA1: 81959c04033134fdd102fe034288b1b1a6fb7cf7
SHA256: d4e2127ed25a1e98e5e44bd4d41e5d9afe65de8061b539a5f99b74a3e164b804
CRC32: c477ae39