来自管家论坛的样本 文件B超没有跑出来但是火眼跑出来了 多引擎只有6个报毒

XywCloud

江户川柯南道尔 发表于 2014-10-16 14:38
测试组大神怎么看 这个是病毒吗

后门。。

XywCloud

木之本樱 发表于 2014-10-15 22:37
文件是坏的   无法运行

可以运行（我这儿沙箱内跑起来了）

dongwenqi

ljy_0119 发表于 2014-10-15 22:06
kis2015 miss，没双击

卡巴可以杀了

prawnliu

在"C:\Program Files\Common Files\VMwares"目录下释放了三个文件
DBSvr_ABC.exe是一PotPlayer的主程序（病毒是白加黑），带有效签名“Daum Communications Corp.”
potplayer.dll是个loader，劫持了PotPlayer的dll加载
12345.111是个shellcode文件，potplayer.dll会读这个shellcode


然后解密，能解出来一个完整的PE文件来

完成后再启动一个新的进程

卸载掉子模块

把之前解出来的shellcode写到新的进程内存空间

恢复线程，执行刚写进去的代码


最后跑起来是个远控后门，倒是没啥新鲜的~~
但只看最后一个进程本身并不是白加黑，而是纯白（内存被改了，但没加载任何黑dll，根据路径查文件又是白的）
所以要拦就拦写内存的动作
妥妥的

蓝天二号

猎豹

木之本樱

prawnliu 发表于 2014-10-16 17:49
在"C:\Program Files\Common Files\VMwares"目录下释放了三个文件
DBSvr_ABC.exe是一PotPlayer的主程序（ ...

          64位系统双击报错

kfshb

prawnliu 发表于 2014-10-16 17:49
在"C:\Program Files\Common Files\VMwares"目录下释放了三个文件
DBSvr_ABC.exe是一PotPlayer的主程序（ ...

能解释一下，那个假数字签名为什么360主防信任吗？有什么高深技术。。。
到刚才我试了下，360只是拉黑，假签名主防还是完全信任哪。

jefffire

kfshb 发表于 2014-10-16 21:16
能解释一下，那个假数字签名为什么360主防信任吗？有什么高深技术。。。
到刚才我试了下，360只是拉黑， ...

签名是真的。只不过已经过了有效期了。
诺顿的信誉也判良好

prawnliu

kfshb 发表于 2014-10-16 21:16
能解释一下，那个假数字签名为什么360主防信任吗？有什么高深技术。。。
到刚才我试了下，360只是拉黑， ...

严格地说，签名是真的

幽冥の龙

感觉哈勃好不靠谱，很多东西都说未发现风险
不过仔细看他详细列出来的行为应该是跑出来了吧？不知道为什么说没风险