收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 刚刚从同学那里抓来的病毒样本，感觉有些奇怪
123
返回列表 发新帖
楼主: tiandaohengzai
 收起左侧

[病毒样本] 刚刚从同学那里抓来的病毒样本，感觉有些奇怪

[复制链接]
lovelive10010
发表于 2014-12-3 00:41:48 | 显示全部楼层
tiandaohengzai 发表于 2014-12-2 21:31
能告诉我这是什么时候的病毒么？都有哪些行为？

基本信息
文件名称：       
scvhost.exe
MD5：         b86814d465bd209ce0ed3376623e13cf
文件类型：         EXE
上传时间：         2014-12-03 00:40:37
出品公司：         N/A
版本：         999.999.0.1013---999.999.1013
壳或编译器信息：         COMPILER:Microsoft Visual Basic 5.0 / 6.0
关键行为
行为描述：         隐藏指定窗口
详情信息：       
[Window,Class] = [,ComboLBox]
[Window,Class] = [List,ThunderRT6FormDC]
行为描述：         修改注册表_任务管理器关键属性
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
行为描述：         设置特殊文件夹属性
详情信息：       
C:\monitor\sample
C:\AnalyzeControl
C:\Documents and Settings
C:\EasyWebSvr
C:\Microsoft+Office
C:\monitor
C:\Program Files
C:\Python27
C:\StaticAnalyze
C:\WINDOWS
C:\WINDOWS\addins
C:\WINDOWS\AppPatch
C:\WINDOWS\assembly
C:\WINDOWS\Config
C:\WINDOWS\Cursors
行为描述：         修改注册表_禁用注册表编辑器项
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools
行为描述：         自删除
详情信息：       
C:\%temp%\1417537716.267027.exe
行为描述：         修改注册表_启动项
详情信息：       
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\FolderRaper
进程行为
行为描述：         创建进程
详情信息：       
ImagePath = C:\WINDOWS\explorer.exe, CmdLine = explorer c:\monitor\sample
ImagePath = C:\WINDOWS\regedit.exe, CmdLine = regedit /s c:\monitor\Funny!.reg
ImagePath = C:\WINDOWS\regedit.exe, CmdLine = regedit /s C:\Windows\System32\Funny!.reg
行为描述：         创建新文件进程
详情信息：       
ImagePath = C:\Windows\System32\scvhost.exe, CmdLine = C:\Windows\System32\scvhost.exe
文件行为
行为描述：         写权限映射文件
详情信息：       
DfSharedHeapBC2E0
\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~DFC2E3.tmp
DfRoot0000BC2E0
行为描述：         设置特殊文件夹属性
详情信息：       
C:\monitor\sample
C:\AnalyzeControl
C:\Documents and Settings
C:\EasyWebSvr
C:\Microsoft+Office
C:\monitor
C:\Program Files
C:\Python27
C:\StaticAnalyze
C:\WINDOWS
C:\WINDOWS\addins
C:\WINDOWS\AppPatch
C:\WINDOWS\assembly
C:\WINDOWS\Config
C:\WINDOWS\Cursors
行为描述：         修改文件内容
详情信息：       
C:\monitor\Funny!.reg---> Offset = 0
C:\WINDOWS\system32\Funny!.reg---> Offset = 0
行为描述：         自删除
详情信息：       
C:\%temp%\1417537716.267027.exe
行为描述：         创建可执行文件
详情信息：       
C:\WINDOWS\system32\scvhost.exe
C:\AnalyzeControl.exe
C:\Documents and Settings.exe
C:\EasyWebSvr.exe
C:\Microsoft+Office.exe
C:\monitor.exe
C:\Program Files.exe
C:\Python27.exe
C:\StaticAnalyze.exe
C:\WINDOWS.exe
C:\WINDOWS\addins.exe
C:\WINDOWS\AppPatch.exe
C:\WINDOWS\assembly.exe
C:\WINDOWS\Config.exe
C:\WINDOWS\Cursors.exe
注册表行为
行为描述：         修改注册表_Explorer文件显示相关属性
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt
行为描述：         修改注册表_任务管理器关键属性
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
行为描述：         修改注册表_文件夹关键属性
详情信息：       
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
行为描述：         修改注册表
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\X\BaseClass
\REGISTRY\MACHINE\SOFTWARE\Classes\exefile\NeverShowExt
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\VB and VBA Program Settings\ShitMaker\Info\ActivedEXE
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\VB and VBA Program Settings\ShitMaker\Info\LastStartTime
行为描述：         修改注册表_禁用注册表编辑器项
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools
行为描述：         修改注册表_启动项
详情信息：       
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\FolderRaper
其他行为
行为描述：         创建驱动文件镜像
详情信息：       
C:\WINDOWS\system32\drivers\fastfat.sys
行为描述：         查找指定窗口
详情信息：       
NtUserFindWindowEx: [Class,Window] = [RegEdit_RegEdit,]
行为描述：         隐藏指定窗口
详情信息：       
[Window,Class] = [,ComboLBox]
[Window,Class] = [List,ThunderRT6FormDC]
行为描述：         创建互斥体
详情信息：       
SHIMLIB_LOG_MUTEX
行为描述：         获取系统权限
详情信息：       
SE_LOAD_DRIVER_PRIVILEGE
回复

举报

lovelive10010
发表于 2014-12-3 00:42:06 | 显示全部楼层
tiandaohengzai 发表于 2014-12-2 21:31
能告诉我这是什么时候的病毒么？都有哪些行为？

基本信息
关键行为
进程行为
文件行为
注册表行为
其他行为
运行截图
基本信息
文件名称：       
.exe
MD5：         b86814d465bd209ce0ed3376623e13cf
文件类型：         EXE
上传时间：         2014-12-03 00:41:11
出品公司：         N/A
版本：         999.999.0.1013---999.999.1013
壳或编译器信息：         COMPILER:Microsoft Visual Basic 5.0 / 6.0
关键行为
行为描述：         隐藏指定窗口
详情信息：       
[Window,Class] = [,ComboLBox]
[Window,Class] = [List,ThunderRT6FormDC]
行为描述：         修改注册表_任务管理器关键属性
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
行为描述：         设置特殊文件夹属性
详情信息：       
C:\monitor\sample
C:\AnalyzeControl
C:\Documents and Settings
C:\EasyWebSvr
C:\Microsoft+Office
C:\monitor
C:\Program Files
C:\Python27
C:\StaticAnalyze
C:\WINDOWS
C:\WINDOWS\addins
C:\WINDOWS\AppPatch
C:\WINDOWS\assembly
C:\WINDOWS\Config
C:\WINDOWS\Cursors
行为描述：         修改注册表_禁用注册表编辑器项
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools
行为描述：         自删除
详情信息：       
C:\%temp%\1417537716.267027.exe
行为描述：         修改注册表_启动项
详情信息：       
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\FolderRaper
进程行为
行为描述：         创建进程
详情信息：       
ImagePath = C:\WINDOWS\explorer.exe, CmdLine = explorer c:\monitor\sample
ImagePath = C:\WINDOWS\regedit.exe, CmdLine = regedit /s c:\monitor\Funny!.reg
ImagePath = C:\WINDOWS\regedit.exe, CmdLine = regedit /s C:\Windows\System32\Funny!.reg
行为描述：         创建新文件进程
详情信息：       
ImagePath = C:\Windows\System32\scvhost.exe, CmdLine = C:\Windows\System32\scvhost.exe
文件行为
行为描述：         写权限映射文件
详情信息：       
DfSharedHeapBC2E0
\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~DFC2E3.tmp
DfRoot0000BC2E0
行为描述：         设置特殊文件夹属性
详情信息：       
C:\monitor\sample
C:\AnalyzeControl
C:\Documents and Settings
C:\EasyWebSvr
C:\Microsoft+Office
C:\monitor
C:\Program Files
C:\Python27
C:\StaticAnalyze
C:\WINDOWS
C:\WINDOWS\addins
C:\WINDOWS\AppPatch
C:\WINDOWS\assembly
C:\WINDOWS\Config
C:\WINDOWS\Cursors
行为描述：         修改文件内容
详情信息：       
C:\monitor\Funny!.reg---> Offset = 0
C:\WINDOWS\system32\Funny!.reg---> Offset = 0
行为描述：         自删除
详情信息：       
C:\%temp%\1417537716.267027.exe
行为描述：         创建可执行文件
详情信息：       
C:\WINDOWS\system32\scvhost.exe
C:\AnalyzeControl.exe
C:\Documents and Settings.exe
C:\EasyWebSvr.exe
C:\Microsoft+Office.exe
C:\monitor.exe
C:\Program Files.exe
C:\Python27.exe
C:\StaticAnalyze.exe
C:\WINDOWS.exe
C:\WINDOWS\addins.exe
C:\WINDOWS\AppPatch.exe
C:\WINDOWS\assembly.exe
C:\WINDOWS\Config.exe
C:\WINDOWS\Cursors.exe
注册表行为
行为描述：         修改注册表_Explorer文件显示相关属性
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt
行为描述：         修改注册表_任务管理器关键属性
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
行为描述：         修改注册表_文件夹关键属性
详情信息：       
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
行为描述：         修改注册表
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\X\BaseClass
\REGISTRY\MACHINE\SOFTWARE\Classes\exefile\NeverShowExt
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\VB and VBA Program Settings\ShitMaker\Info\ActivedEXE
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\VB and VBA Program Settings\ShitMaker\Info\LastStartTime
行为描述：         修改注册表_禁用注册表编辑器项
详情信息：       
\REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools
行为描述：         修改注册表_启动项
详情信息：       
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\FolderRaper
其他行为
行为描述：         创建驱动文件镜像
详情信息：       
C:\WINDOWS\system32\drivers\fastfat.sys
行为描述：         查找指定窗口
详情信息：       
NtUserFindWindowEx: [Class,Window] = [RegEdit_RegEdit,]
行为描述：         隐藏指定窗口
详情信息：       
[Window,Class] = [,ComboLBox]
[Window,Class] = [List,ThunderRT6FormDC]
行为描述：         创建互斥体
详情信息：       
SHIMLIB_LOG_MUTEX
行为描述：         获取系统权限
详情信息：       
SE_LOAD_DRIVER_PRIVILEGE
回复

举报

lovelive10010
发表于 2014-12-3 00:42:22 | 显示全部楼层
tiandaohengzai 发表于 2014-12-2 21:31
能告诉我这是什么时候的病毒么？都有哪些行为？

感谢我把!!!
回复

举报

tiandaohengzai
 楼主| 发表于 2014-12-3 16:43:03 | 显示全部楼层
lovelive10010 发表于 2014-12-3 00:41
基本信息
文件名称：       
scvhost.exe

感谢~
话说没看到什么太过分的行为。。。还是我眼力不够。。。
就是这个
ImagePath = C:\WINDOWS\regedit.exe, CmdLine = regedit /s c:\monitor\Funny!.reg
这个Funny!.reg。。。难道是所谓的整人程序么。。。

ps：这个获取程序行为的软件名称叫什么啊，找了好久。。。
回复

举报

lovelive10010
发表于 2014-12-3 17:25:37 | 显示全部楼层
tiandaohengzai 发表于 2014-12-3 16:43
感谢~
话说没看到什么太过分的行为。。。还是我眼力不够。。。
就是这个

我也看不到，都是我用哈勃分析出来的，傻瓜式
回复

举报

狐狸糊涂
发表于 2014-12-4 08:52:22 | 显示全部楼层
BitDefender的已阻挡这个网页
您要浏览的网页内有丢弃：Generic.Malware.SD.FC8B8B66。
回复

举报

zsm2014
发表于 2014-12-4 10:18:20 | 显示全部楼层
360ts扫描压缩包结果。

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

123
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-9-17 14:46 , Processed in 0.119108 second(s), 15 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表