在服务器上面发现的一个盗号木马

显示全部楼层 · 发表于 2014-11-7 12:30:40

好压KILL ID.EXE

EAV火绒扫描MISS

显示全部楼层 · 发表于 2014-11-7 13:13:15

趋势科技简中7.0miss

显示全部楼层 · 发表于 2014-11-7 15:30:11

prawnliu 发表于 2014-11-7 11:27
ntsd和GetPassword没问题
ld.exe和m是木马，准确的说其实只有m是木马
ld.exe是个loader，加载m里的代码并 ...

哇高手大虾

显示全部楼层 · 发表于 2014-11-7 17:29:22

显示全部楼层 · 发表于 2014-11-7 18:19:23

mcafee miss

显示全部楼层 · 发表于 2014-11-7 18:29:20

prawnliu 发表于 2014-11-7 11:27
ntsd和GetPassword没问题
ld.exe和m是木马，准确的说其实只有m是木马
ld.exe是个loader，加载m里的代码并 ...

我这边三个 exe文件都运行了，只是调用了一些CMD，，，关了就没反应了，，，，，，，，

显示全部楼层 · 发表于 2014-11-7 18:46:06

蓝天二号发表于 2014-11-7 18:29
我这边三个 exe文件都运行了，只是调用了一些CMD，，，关了就没反应了，，，，，，，，

ntsd是个调试工具，你直接运行肯定啥都没有
GetPassword也是没啥动作的
这俩都不是病毒你也不必纠结了~

ld.exe你如果双击运行会直接退出的
他第一步动作就是判断命令行参数
如果没给命令行直接就退了
要么你从cmd里带参数启动（参数就给那个m的路径）
要么你直接把m拖到ld.exe上面，也是同样的效果
不过由于后台静默运行且控制服务器无法连接
所以你还是看不到啥东西就退了
水平够的话可以放到OD里单步调试看下。
（m的自解密部分单步跟即可，代码量不大）

显示全部楼层 · 发表于 2014-11-7 18:49:06

prawnliu 发表于 2014-11-7 18:46
ntsd是个调试工具，你直接运行肯定啥都没有
GetPassword也是没啥动作的
这俩都不是病毒你也不必纠结了~ ...

算了，不想那么麻烦的运行一个病毒程序，，，，，

显示全部楼层 · 发表于 2014-11-7 18:58:04

prawnliu 发表于 2014-11-7 18:46
ntsd是个调试工具，你直接运行肯定啥都没有
GetPassword也是没啥动作的
这俩都不是病毒你也不必纠结了~ ...

看到大神了。

显示全部楼层 · 发表于 2014-11-7 19:31:52

ld.exe was send to ESET for analysis

[病毒样本] 在服务器上面发现的一个盗号木马

本帖子中包含更多资源

浏览过的版块