2014-10-31 - PHISHING EMAIL

显示全部楼层 · 发表于 2014-11-1 06:42:22

本帖最后由东方妖妖梦于 2014-11-1 07:41 编辑

http://www.malware-traffic-analysis.net/2014/10/31/index.html

密码：infected

狮子MISS

火眼：http://fireeye.ijinshan.com/anal ... d675&type=1#key

B超：https://b-chao.com/index.php/Ind ... B41B4D675/ajax/demo

哈勃：http://habo.qq.com/file/showdetail?pk=ADwGbl1vB2A=

显示全部楼层 · 发表于 2014-11-1 07:25:56

ESET killed all.

显示全部楼层 · 发表于 2014-11-1 07:35:34

网址失效了，，，，，，

显示全部楼层 · 发表于 2014-11-1 07:41:59

蓝天二号发表于 2014-11-1 07:35
网址失效了，，，，，，

莫慌，已传附件

显示全部楼层 · 发表于 2014-11-1 07:52:14

本帖最后由蓝天二号于 2014-11-1 08:11 编辑

实机测试歌德塔回滚能力，杠杠的
一开始尝试联网，到荷兰，，，，，，
，

放行后，

隔离区如下：

启动进程：: notepad.exe
发行商：: 未知发行商

*** 操作 ***

已加壳的程序文件，可能隐藏有恶意代码。
程序正试图建立自启动项，以在系统启动时自动运行。
程序正经过网络建立连接。
程序已在内存中被修改。
程序已创建或已操作可执行文件。
程序进行了自我复制。

*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\MrChenWei\AppData\Local\Temp\nsb9B25.tmp\Letty.dll
C:\Users\MrChenWei\AppData\Local\Temp\nse948D.tmp
C:\Users\MrChenWei\AppData\Local\Temp\nspB052.tmp
C:\Users\MrChenWei\AppData\Local\Temp\nssB70A.tmp\Letty.dll
C:\Users\MrChenWei\AppData\Local\Temp\perfecters\Letty.yt
C:\Users\MrChenWei\AppData\Roaming\Wikimedia\.Identifier
C:\Users\MrChenWei\AppData\Roaming\Wikimedia\wiki.exe
C:\Users\MrChenWei\Desktop\新建文件夹\notepad.exe
c:\users\mrchenwei\appdata\local\temp\nsb9b25.tmp\letty.dll
c:\users\mrchenwei\appdata\local\temp\nse948d.tmp
c:\users\mrchenwei\appdata\local\temp\nspb052.tmp
c:\users\mrchenwei\appdata\local\temp\nssb70a.tmp\letty.dll
c:\users\mrchenwei\appdata\local\temp\perfecters\letty.yt
c:\users\mrchenwei\appdata\roaming\wikimedia\.identifier
c:\users\mrchenwei\appdata\roaming\wikimedia\wiki.exe

下列注册表项被删除：

\REGISTRY\USER\S-1-5-21-2936773073-4027645054-1623234604-1001\Software\Microsoft\Windows\CurrentVersion\Run || Google Chrome

YGLhn5IJLCcnJiYnBy0nKycnJwouJ9tygiknqXAqdJJCJyd0gnArJyknJycIx3KScnJygoAuJycmJicHuWLhn3IG2XJyoC0nJyYmJwfbcnJycmJiwCknKCcnJwf8coJycnJy0CYnKSYmJwmPcnJiYnJy8CwnJycnJgZ3KicHhysnKSYmJwmnKxepNWYrKhepNWYrJxepNWYrCbcnJycmJicHty0nJycnJgbXKScpJiYnCecnJycmJicH5ygnC

其实，主要执行以下几步，注入了一个 google的注册表，，不知道是被劫持的？还是强制安装。。。

显示全部楼层 · 发表于 2014-11-1 08:20:03

Baidu Antivirus杀exe

显示全部楼层 · 发表于 2014-11-1 08:29:48

本帖最后由 ksss5566 于 2014-11-1 08:57 编辑

大蜘蛛，解压后，监控干掉exe。

关闭spider guard，双击。

显示全部楼层 · 发表于 2014-11-1 08:32:28

ksss5566 发表于 2014-11-1 08:29
大蜘蛛，解压后，监控干掉exe。

10.0版吧，，，求双击测试，，

显示全部楼层 · 发表于 2014-11-1 08:35:08

蓝天二号发表于 2014-11-1 08:32
10.0版吧，，，求双击测试，，

是10.0，实机，没胆

显示全部楼层 · 发表于 2014-11-1 08:36:41

ksss5566 发表于 2014-11-1 08:35
是10.0，实机，没胆

看我的歌德塔双击，，超级回滚，，，

[病毒样本] 2014-10-31 - PHISHING EMAIL

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块