收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 流氓软件一枚
123下一页
返回列表 发新帖
楼主: 江户川柯南道尔
 收起左侧

[其他相关] 流氓软件一枚

[复制链接]
Qutianshang
发表于 2014-6-17 15:28:21 | 显示全部楼层
本帖最后由 Qutianshang 于 2014-6-17 16:23 编辑

确实是流氓

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

猥琐大叔
发表于 2014-6-17 15:55:55 | 显示全部楼层

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

fuzhk
发表于 2014-6-17 15:56:32 | 显示全部楼层
本帖最后由 fuzhk 于 2014-6-17 16:22 编辑

SBIE 4.12 XP x86
点击开始一键装扮，弹出装扮成功。进程结束。沙盘C:\ 下生成 qwe.exe
回复

举报

jyjtj1234
发表于 2014-6-17 16:00:09 | 显示全部楼层
fs拦截
回复

举报

Qutianshang
发表于 2014-6-17 16:14:14 | 显示全部楼层
fuzhk 发表于 2014-6-17 15:56
SBIE 4.12 XP x86
点击开始一键装扮，弹出装扮成功。进程结束。沙盘C:\ 下生成 qwe.exe

你的那个是空的，我放行了一下得到了一个易语言
回复

举报

Qutianshang
发表于 2014-6-17 16:15:02 | 显示全部楼层
本帖最后由 Qutianshang 于 2014-6-17 16:23 编辑

放行后下载的程序，易语言http://pan.baidu.com/s/1gdACfTp密码123

放行之后多了很多的软件
2014-6-15 12:29:36    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: UDP [本机 : 1027] ->  [211.137.191.26 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:29:38    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: UDP [本机 : 1028] ->  [211.137.191.26 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:29:40    访问网络    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: TCP [本机 : 1029] ->  [1.93.38.11 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:29:58    创建文件    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: C:\x1.exe
规则: [文件]?:\

2014-6-15 12:29:59    创建新进程    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: c:\x1.exe
命令行: c://x1.exe
规则: [应用程序]*

2014-6-15 12:30:03    访问网络    允许
进程: c:\x1.exe
目标: TCP [本机 : 1030] ->  [1.93.38.11 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:04    访问网络    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: TCP [本机 : 1031] ->  [112.25.11.163 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:12    创建文件    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: C:\pczh_130_3969.exe
规则: [文件]?:\

2014-6-15 12:30:14    创建文件    允许
进程: c:\x1.exe
目标: C:\x2.exe
规则: [文件]?:\

2014-6-15 12:30:16    创建新进程    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: c:\pczh_130_3969.exe
命令行: c://pczh_130_3969.exe
规则: [应用程序]*

2014-6-15 12:30:18    创建新进程    允许
进程: c:\x1.exe
目标: c:\x2.exe
命令行: c://x2.exe
规则: [应用程序]*

2014-6-15 12:30:20    创建文件    允许
进程: c:\pczh_130_3969.exe
目标: C:\Documents and Settings\96852\Local Settings\Temp\nsz7.tmp\Base64.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2014-6-15 12:30:22    访问网络    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: TCP [本机 : 1032] ->  [103.250.12.212 : 3234]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:23    访问网络    允许
进程: c:\x2.exe
目标: TCP [本机 : 1033] ->  [222.186.60.23 : 6677]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:24    访问网络    允许
进程: c:\x1.exe
目标: TCP [本机 : 1034] ->  [42.120.230.9 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:26    创建文件    允许
进程: c:\pczh_130_3969.exe
目标: C:\Documents and Settings\96852\Local Settings\Temp\nsz7.tmp\System.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2014-6-15 12:30:27    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: UDP [本机 : 1027] ->  [218.201.96.130 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:28    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: UDP [本机 : 1028] ->  [218.201.96.130 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:30    访问网络    允许
进程: c:\x1.exe
目标: TCP [本机 : 1035] ->  [120.192.76.22 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:32    创建文件    允许
进程: c:\pczh_130_3969.exe
目标: C:\Documents and Settings\96852\Local Settings\Temp\nsz7.tmp\NSISdl.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2014-6-15 12:30:33    访问网络    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: TCP [本机 : 1036] ->  [61.136.228.212 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:35    创建文件    允许
进程: c:\pczh_130_3969.exe
目标: C:\Program Files\ainqngz4.0\Ainqngz4.0.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-6-15 12:30:37    创建文件    允许
进程: c:\pczh_130_3969.exe
目标: C:\Program Files\ainqngz4.0\uninstall.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-6-15 12:30:38    创建文件    允许
进程: c:\pczh_130_3969.exe
目标: C:\Program Files\ainqngz4.0\fdcard.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-6-15 12:30:39    创建文件    允许
进程: c:\x1.exe
目标: C:\114gglm_016.exe
规则: [文件]?:\

2014-6-15 12:30:40    创建文件    允许
进程: c:\pczh_130_3969.exe
目标: C:\Program Files\ainqngz4.0\Dcsvr.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-6-15 12:30:48    创建新进程    允许
进程: c:\x1.exe
目标: c:\114gglm_016.exe
命令行: c://114gglm_016.exe
规则: [应用程序]*

2014-6-15 12:30:49    创建文件    允许
进程: c:\pczh_130_3969.exe
目标: C:\Documents and Settings\96852\Local Settings\Temp\nsz7.tmp\nsExec.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2014-6-15 12:30:51    修改注册表值    允许
进程: c:\114gglm_016.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\wjime
值: C:\Program Files\Wuji\Wuji.exe auto
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2014-6-15 12:30:53    创建新进程    允许
进程: c:\pczh_130_3969.exe
目标: c:\documents and settings\96852\local settings\temp\nsz7.tmp\ns9.tmp
命令行: "C:\DOCUME~1\96852\LOCALS~1\Temp\nsz7.tmp\ns9.tmp" sc create "Dcssvr Service11520146123026290"  displayname= "21520146123026290"  binPath= "C:\Program Files\ainqngz4.0\Dcsvr.exe" start= auto
规则: [应用程序]*

2014-6-15 12:30:54    访问网络    允许
进程: c:\x1.exe
目标: TCP [本机 : 1037] ->  [59.57.13.169 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:30:55    创建文件    允许
进程: c:\114gglm_016.exe
目标: C:\Documents and Settings\96852\Local Settings\Temp\wujiime.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-6-15 12:30:57    创建新进程    允许
进程: c:\documents and settings\96852\local settings\temp\nsz7.tmp\ns9.tmp
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序]*

2014-6-15 12:30:59    创建新进程    允许
进程: c:\documents and settings\96852\local settings\temp\nsz7.tmp\ns9.tmp
目标: c:\windows\system32\sc.exe
命令行: sc create "Dcssvr Service11520146123026290"  displayname= "21520146123026290"  binPath= "C:\Program Files\ainqngz4.0\Dcsvr.exe" start= auto
规则: [应用程序]*

2014-6-15 12:31:02    访问网络    允许
进程: c:\x1.exe
目标: TCP [本机 : 1038] ->  [59.57.13.169 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:31:06    创建新进程    允许
进程: c:\114gglm_016.exe
目标: c:\documents and settings\96852\local settings\temp\wujiime.exe
命令行: "C:\DOCUME~1\96852\LOCALS~1\Temp\wujiime.exe" /S
规则: [应用程序]*

2014-6-15 12:31:08    底层键盘操作    允许
进程: c:\windows\system32\conime.exe
规则: [应用程序]*

2014-6-15 12:31:17    安装驱动程序或服务    允许
进程: c:\windows\system32\sc.exe
目标: C:\Program Files\ainqngz4.0\Dcsvr.exe
规则: [应用程序]*

2014-6-15 12:31:18    访问网络    允许
进程: c:\x1.exe
目标: TCP [本机 : 1039] ->  [59.57.13.169 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2014-6-15 12:31:19    结束其他进程    允许
进程: c:\documents and settings\96852\local settings\temp\nsz7.tmp\ns9.tmp
目标: c:\windows\system32\conime.exe
规则: [应用程序]*

2014-6-15 12:31:20    创建文件    允许
进程: c:\documents and settings\96852\local settings\temp\wujiime.exe
目标: C:\Program Files\Wuji\Wuji.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2014-6-15 12:31:22    创建文件    允许
进程: c:\x2.exe
目标: C:\setup_3048-4657.exe
规则: [文件]?:\

2014-6-15 12:31:27    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dcssvr Service11520146123026290
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2014-6-15 12:31:28    创建文件    允许
进程: c:\documents and settings\96852\local settings\temp\wujiime.exe
目标: C:\Program Files\Wuji\Wuji.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-6-15 12:31:32    创建新进程    允许
进程: c:\x2.exe
目标: c:\setup_3048-4657.exe
命令行: c://setup_3048-4657.exe
规则: [应用程序]*

2014-6-15 12:31:33    创建文件    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: C:\-8558_4657_mvy.exe
规则: [文件]?:\

2014-6-15 12:31:36    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dcssvr Service11520146123026290\Start
值: 0x00000002(2)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2014-6-15 12:31:37    创建文件    允许
进程: c:\documents and settings\96852\local settings\temp\wujiime.exe
目标: C:\Program Files\Wuji\update.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-6-15 12:31:38    创建文件    允许
进程: c:\x1.exe
目标: C:\sonlinetime_1135.exe
规则: [文件]?:\

2014-6-15 12:31:44    创建新进程    允许
进程: c:\documents and settings\96852\桌面\qwe.exe
目标: c:\-8558_4657_mvy.exe
命令行: c://-8558_4657_mvy.exe
规则: [应用程序]*

2014-6-15 12:31:46    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dcssvr Service11520146123026290\ImagePath
值: C:\Program Files\ainqngz4.0\Dcsvr.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2014-6-15 12:31:49    创建文件    允许
进程: c:\documents and settings\96852\local settings\temp\wujiime.exe
目标: C:\Program Files\Wuji\uninst.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-6-15 12:31:53    创建文件    允许
进程: c:\setup_3048-4657.exe
目标: C:\Program Files\yyfm0529\2014061512\audio.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2014-6-15 12:31:54    创建新进程    允许
进程: c:\x1.exe
目标: c:\sonlinetime_1135.exe
命令行: c://sonlinetime_1135.exe
规则: [应用程序]*

2014-6-15 12:31:56    创建文件    允许
进程: c:\-8558_4657_mvy.exe
目标: C:\Documents and Settings\96852\Local Settings\Temp\nsoC.tmp\System.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll
回复

举报

fuzhk
发表于 2014-6-17 16:25:54 | 显示全部楼层
退出进程之前整个电脑倒是真的卡了一会
回复

举报

c030612
发表于 2014-6-17 16:27:15 | 显示全部楼层
本帖最后由 c030612 于 2014-6-17 16:46 编辑

http://fireeye.ijinshan.com/anal ... b672477c5de359f5275

ESS 4.2.76.1 拦截生成物qwe.exe的下载地址

确认为流氓软件包

Sandboxie 4.12 测试结果：

生成物：
C:\-8558_4657_mvy.exe
C:\114gglm_016.exe
C:\365weatherIns_75.exe
C:\5549.exe
C:\goodpic_dae_627.exe
C:\pczh_130_3969.exe
C:\setup_2ba5_p3c0.exe
C:\setup_3048-4657.exe
C:\sonlinetime_1135.exe

开始菜单生成以下条目：广告神盾，气象雷达，美女营
收藏夹生成以下条目：360网址导航，Hao123导航，网址大全


回复

举报

挥泪斩情思
发表于 2014-6-17 17:31:47 | 显示全部楼层
to dr.web
回复

举报

辽宁大连~~小海
发表于 2014-6-17 17:56:44 | 显示全部楼层
管家弹弹弹
回复

举报

下一页 »
123下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-9-18 08:54 , Processed in 0.094050 second(s), 14 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表