用eset hips的各位大大，给测试一下这个样本好不？

显示全部楼层 · 发表于 2014-2-2 04:57:56

另外，这程序运行的后果是什么？具体点。因为太累了，截完图，就直接回滚快照。特地注意你说的那步。其余的就顺着走了。

显示全部楼层 · 发表于 2014-2-8 18:35:30

cihkevin 发表于 2014-2-2 04:57
另外，这程序运行的后果是什么？具体点。因为太累了，截完图，就直接回滚快照。特地注意你说的那步。其余的 ...

不好意思忘记这个帖子了

显示全部楼层 · 发表于 2014-2-8 18:38:11

cihkevin 发表于 2014-2-2 04:18
小子新年快乐我抽空测试了下一共29张全过程。另外这是个什么程序？

也有你想要的效果图

是个木马貌似ESET貌似也没有拦截到对explorer的注入

显示全部楼层 · 发表于 2014-2-8 19:57:23

本帖最后由 cihkevin 于 2014-2-8 19:58 编辑

墨家小子发表于 2014-2-8 18:38
是个木马貌似ESET貌似也没有拦截到对explorer的注入

第四张图不是么？

显示全部楼层 · 发表于 2014-2-8 19:57:51

墨家小子发表于 2014-2-8 18:35
不好意思忘记这个帖子了

不客气。反正测试了的。

显示全部楼层 · 发表于 2014-2-9 18:19:40

cihkevin 发表于 2014-2-8 19:57
第四张图不是么？

貌似是启动新进程提示不是修改进程弹窗

显示全部楼层 · 发表于 2014-2-9 18:49:38

墨家小子发表于 2014-2-9 18:19
貌似是启动新进程提示不是修改进程弹窗

整个过程就是这样的。没有你说的 modify的话，那么可能是没拦截到，如果启动拦截到了，效果应该一样吧。
这个木马运行的后果是什么。键盘记录还是别的什么？

显示全部楼层 · 发表于 2014-2-10 18:35:09

cihkevin 发表于 2014-2-9 18:49
整个过程就是这样的。没有你说的 modify的话，那么可能是没拦截到，如果启动拦截到了，效果应该一样吧。
...

具体情况我只是猜测，不如你发给ESET官方，让他们解释一下才好

没错，启动拦截到就可以了，我就是想看看能不能拦截到注入，或者说木马是不是通过注入来达到目的的
启动系统进程，修改系统墙，将自身添加到系统墙白名单，建立启动项，你说它要干什么？

显示全部楼层 · 发表于 2014-2-10 19:18:21

墨家小子发表于 2014-2-10 18:35
具体情况我只是猜测，不如你发给ESET官方，让他们解释一下才好
没错，启动拦截到就可以了，我就是 ...

这倒是不用，ESET的HIPS出了名的简陋。更不谈一些细节的拦截了。毛豆应该能拦截到你说的修改。

那么这个木马是不是通过注入来达到目的的呢。有HIPS拦截到了么？

所以才修改注册表，创建一些端口。

显示全部楼层 · 发表于 2014-2-11 17:22:44

cihkevin 发表于 2014-2-10 19:18
这倒是不用，ESET的HIPS出了名的简陋。更不谈一些细节的拦截了。毛豆应该能拦截到你说的修改。

那么这 ...

都没有抓到注入explorer这一步，OPF在XP下抓到了，只是说拦截到注入，没说拦截到注入到那个进程，在win8、win7系统下，就抓不到，很奇怪，我怀疑在xp下hips都能抓到
注入explorer，然后用explorer注入svchost，反正就是利用白名单

[求助] 用eset hips的各位大大，给测试一下这个样本好不？