呼叫HIPS 疑似感染型病毒附分析报告求大神分析

显示全部楼层 · 发表于 2014-5-17 15:25:21

本帖最后由 songdehao 于 2014-5-17 16:10 编辑

求HIPS看下行为

http://anubis.iseclab.org/?actio ... a67&format=html
http://anubis.iseclab.org/?actio ... c3d&format=html
http://anubis.iseclab.org/?actio ... 824&format=html
附带当中的两个分析麻烦大神看下

显示全部楼层 · 发表于 2014-5-17 15:29:03

我这边没hips
只不过费尔启发报了1个感染型：Heuri.Virut.1

显示全部楼层 · 发表于 2014-5-17 15:59:37

http://anubis.iseclab.org/?actio ... a67&format=html
http://anubis.iseclab.org/?actio ... c3d&format=html
附带当中的两个分析麻烦大神看下

显示全部楼层 · 发表于 2014-5-17 19:34:25

Dr.Web

联机和单机互相转换.exe - infected with modification of Win32.Virut.56
渐色猫iii[开始游戏].exe - is adware program Adware.Downware.3909

显示全部楼层 · 发表于 2014-5-17 20:02:50

费尔

显示全部楼层 · 发表于 2014-5-17 20:52:28

360 Win32/Trojan.4b4

显示全部楼层 · 发表于 2014-5-17 21:29:31

360 Kill 3

残留3个文件

第一个和第二个文件，双击无法执行

第三个文件
执行后未发现有啥恶意行为。。。

显示全部楼层 · 发表于 2014-5-18 14:19:36

等等啊

看看有多狠

显示全部楼层 · 发表于 2014-5-18 14:35:55

联机和单机互相转换.exe 无法运行
cstrike.exe 缺少DLL无法运行
hl.exe 同上
hlds.exe 同上
武器浏览器.exe:
2014-5-18 14:31:15 创建新进程允许
进程: d:\windows\explorer.exe
目标: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\武器浏览器.exe
命令行: "D:\Documents and Settings\killleer\桌面\new\渐色猫三代[公开版本][1]\武器浏览器.exe"
规则: [应用程序]d:\windows\explorer.exe

2014-5-18 14:31:17 读文件 (3) 允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\武器浏览器.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2014-5-18 14:31:18 读文件允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\武器浏览器.exe
目标: D:\Documents and Settings\killleer\桌面\new\渐色猫三代[公开版本][1]\武器浏览器.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

渐色猫III[开始游戏].exe
正常:
2014-5-18 14:32:03 创建新进程允许
进程: d:\windows\explorer.exe
目标: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
命令行: "D:\Documents and Settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫III[开始游戏].exe"
规则: [应用程序]d:\windows\explorer.exe

2014-5-18 14:32:04 加载动态链接库允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: d:\windows\system32\mfc42.dll
规则: [应用程序]*

2014-5-18 14:32:06 读文件 (3) 允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2014-5-18 14:32:14 读文件允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\Documents and Settings\killleer\Local Settings\Temporary Internet Files\Content.IE5\index.dat
规则: [文件组]所有执行文件 -> [文件]*; *.*

2014-5-18 14:32:17 读文件允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\Documents and Settings\killleer\Cookies\index.dat
规则: [文件组]所有执行文件 -> [文件]*; *.*

2014-5-18 14:32:21 读文件允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\Documents and Settings\killleer\Local Settings\History\History.IE5\index.dat
规则: [文件组]所有执行文件 -> [文件]*; *.*

2014-5-18 14:32:29 访问网络允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: UDP [本机 : 1230] ->  [127.0.0.1 : 1230]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-5-18 14:32:30 访问网络允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: TCP [本机 : 1231] ->  [115.28.143.111 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-5-18 14:32:33 读文件 (3) 允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2014-5-18 14:32:51 访问网络允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: TCP [本机 : 1232] ->  [112.126.126.23 : 8324]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-5-18 14:32:53 访问网络允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: TCP [本机 : 1233] ->  [112.126.126.23 : 8324]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-5-18 14:32:55 创建文件允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\Documents and Settings\killleer\Local Settings\Temporary Internet Files\Content.IE5\YBZ0MCYM\1[1].css
规则: [应用程序]d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe -> [文件]d:\documents and settings\killleer\local settings\temporary internet files\*

2014-5-18 14:32:58 修改文件允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\Documents and Settings\killleer\Local Settings\Temporary Internet Files\Content.IE5\YBZ0MCYM\1[1].css
规则: [应用程序]d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe -> [文件]d:\documents and settings\killleer\local settings\temporary internet files\*

2014-5-18 14:32:59 创建文件允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\Documents and Settings\killleer\Local Settings\Temporary Internet Files\Content.IE5\YBZ0MCYM\wanwanglogo[1].png
规则: [应用程序]d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe -> [文件]d:\documents and settings\killleer\local settings\temporary internet files\*

2014-5-18 14:33:00 创建文件允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\Documents and Settings\killleer\Local Settings\Temporary Internet Files\Content.IE5\YBZ0MCYM\aliyunlogo[1].png
规则: [应用程序]d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe -> [文件]d:\documents and settings\killleer\local settings\temporary internet files\*

2014-5-18 14:33:01 创建文件允许
进程: d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe
目标: D:\Documents and Settings\killleer\Local Settings\Temporary Internet Files\Content.IE5\TDES0IA2\bg[1].jpg
规则: [应用程序]d:\documents and settings\killleer\桌面\new\渐色猫三代[公开版本][1]\渐色猫iii[开始游戏].exe -> [文件]d:\documents and settings\killleer\local settings\temporary internet files\*

最后结论,在虚拟机下完全正常,但是,可能反虚拟机

记得,可能反虚拟机,我不是实机测试

显示全部楼层 · 发表于 2014-5-19 07:21:45

文件名: 联机和单机互相转换.exe
威胁名称: W32.Virut.CF
完整路径: f:\norton样本\诺顿排除\渐色猫三代[公开版本]\联机和单机互相转换.exe

____________________________

详细信息
极少用户信任的文件, 极新的文件, 风险高

原始
下载自
未知

活动
已执行的操作: 19

____________________________

在电脑上的创建时间
2014-5-19 ( 7:19:42 )

上次使用时间
2014-5-19 ( 7:21:29 )

启动项目
否

已启动
否

____________________________

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

威胁类型: 病毒。将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。

____________________________

来源: 外部介质

源文件:
winrar.exe

创建的文件:
联机和单机互相转换.exe

____________________________

文件操作

受感染文件: f:\norton样本\诺顿排除\渐色猫三代[公开版本]\ 联机和单机互相转换.exe 已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->Hidden:1 已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->Hidden:1 已修复
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->Hidden:1 已修复
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->ShowSuperHidden:1 已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->HideFileExt:0 已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->HideFileExt:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->HideFileExt:0 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ system->ConsentPromptBehaviorAdmin:5 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ system->EnabledLUA:1 已修复
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\Policies\ Explorer->TaskbarNoThumbnail:0 已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->ShowSuperHidden:1 已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->ShowSuperHidden:1 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\ ->UncheckedValue:0 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\ SHOWALL->CheckedValue:1 已修复
注册表更改: HKEY_USERS\S-1-5-19\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Winlogon->Shell:Explorer.exe 已修复
注册表更改: HKEY_USERS\S-1-5-20\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Winlogon->Shell:Explorer.exe 已修复
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Winlogon->Shell:Explorer.exe 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Winlogon->Shell:Explorer.exe 删除失败
____________________________

文件指纹 - SHA:
47fe488889b1c657788e632c6b795f0c0787e4c84676f94871e3b9111d910f19
文件指纹 - MD5:
不可用

[可疑文件] 呼叫HIPS 疑似感染型病毒附分析报告求大神分析

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

[可疑文件] 呼叫HIPS 疑似感染型病毒 附分析报告 求大神分析

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

[可疑文件] 呼叫HIPS 疑似感染型病毒附分析报告求大神分析