半夜来一发，高级一些的

fzshot

Dr.Web 解压杀

战神辅助.exe packed by BINARYRES
>战神辅助.exe infected with Trojan.DownLoader10.35182

Qutianshang

zhou0197 发表于 2014-6-13 23:48
不确定，目标可能是DNF，可能是的…………上来就加驱动…………吓死人的节奏，一般的外{过}{滤}挂恐怕 ...

看样子是盗号，虚拟机运行没有流量，可能是没有dnf触发不了

zhou0197

Qutianshang 发表于 2014-6-13 23:52
看样子是盗号，虚拟机运行没有流量，可能是没有dnf触发不了

目测也不需要触发…………

taskkill /f /im DNF.exe.manifest

目标还是很明确的…………

Qutianshang

zhou0197 发表于 2014-6-13 23:54
目测也不需要触发…………

taskkill /f /im DNF.exe.manifest

直接搜索

zhou0197

Qutianshang 发表于 2014-6-13 23:59
直接搜索

终止进程的节奏…………难道劫持什么的？

Qutianshang

zhou0197 发表于 2014-6-14 00:00
终止进程的节奏…………难道劫持什么的？

行为描述：         常规加载驱动
详情信息：       
\??\C:\WINDOWS\system32\loveML.sys
行为描述：         修改注册表_禁用修改IE首页属性
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Policies\Microsoft\Internet Explorer\control Panel\HomePage
行为描述：         杀掉进程
详情信息：       
taslogin.exe
C:\Program Files\Tencent\QQ\Bin\TXPlatform.exe
TenSafe.exe
Tencentdl.exe
TXPlatform.exe
TenQQDLSafe.exe
TargetProcess = DNF.EXE.MANIFEST
行为描述：        多次强杀进程
详情信息：       
taslogin.exe
行为描述：         设置特殊文件属性
详情信息：       
C:\WINDOWS\system32\loveML.sys
行为描述：         停止系统服务
详情信息：       
ServiceName = loveML
行为描述：         修改注册表_IE首页
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Internet Explorer\Main\Start Page
行为描述：         创建系统服务
详情信息：       
[服务创建成功]: loveML, C:\WINDOWS\system32\\loveML.sys

看不懂

zhou0197

Qutianshang 发表于 2014-6-14 00:04
行为描述：         常规加载驱动
详情信息：       
\??\C:\WINDOWS\system32\loveML.sys

大约是想终止DNF之后，重新运行DNF的时候强行注入，在加个底层键盘读取，盗号什么的吧。

zhou0197

Qutianshang 发表于 2014-6-14 00:04
行为描述：         常规加载驱动
详情信息：       
\??\C:\WINDOWS\system32\loveML.sys

http://fireeye.ijinshan.com/anal ... 0d5d66eb75ae4b#full

勇者无敌

Qutianshang

zhou0197 发表于 2014-6-14 00:09
大约是想终止DNF之后，重新运行DNF的时候强行注入，在加个底层键盘读取，盗号什么的吧。

估计是，但那个中招的说是被锁屏就不对了