15年的第八枚样本，是一个Rootkits，有胆量的双击测毒吧，不过后果自负

lifan88

liulangzhecgr 发表于 2015-1-3 15:21
2015-1-3 15:03:20    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\downloads\测试6\use ...

应该是的。。。你允许它加驱了

lifan88

驭龙 发表于 2015-1-3 15:18
看来这家伙的衍生物还是蛮多的，哈

没有，它下载了个MD5表，然后有下载了个判断的文本，然后得到我的IP地址就跑了

驭龙

lifan88 发表于 2015-1-3 15:43
没有，它下载了个MD5表，然后有下载了个判断的文本，然后得到我的IP地址就跑了

不过还是有驱动和动态链接库的创建么？

lifan88

驭龙 发表于 2015-1-3 15:48
不过还是有驱动和动态链接库的创建么？

恩,你侃侃下面有位仁兄加驱的效果

驭龙

lifan88 发表于 2015-1-3 15:50
恩,你侃侃下面有位仁兄加驱的效果

是啊，加驱以后的动作更多了，而且也收集IP和释放其他DLL，所以我说它衍生物还是不少的，哈

幽冥の龙

liulangzhecgr 发表于 2015-1-3 15:21
2015-1-3 15:03:20    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\downloads\测试6\use ...

进程: c:\program files\internet explorer\iexplore.exe
目标: C:\Documents and Settings\All Users\Application Data\Tencent\TXPltSafe
规则: [文件]*

这个我记的是腾讯的一个插件搞的，一打开系统IE就灰创建这个文件夹，禁用这个插件后就没这动作了
插件名字是 AccountProtectBHO Class
对应文件在 \AppData\Roaming\Tencent\QQ\QQAntiPhishing\AccountProtect.dll

b573684723

好压EAV火绒扫描KILL

liulangzhecgr

lifan88 发表于 2015-1-3 15:43
没有，它下载了个MD5表，然后有下载了个判断的文本，然后得到我的IP地址就跑了

打开此文件就看到 ip 地址 和 中文地址

2015-1-3 15:00:30    创建文件    允许
进程: d:\documents and settings\killleer\桌面\加驱\user.exe
目标: D:\Documents and Settings\killleer\Local Settings\Temp\ipaddress.txt
规则: [文件组]所有执行文件 -> [文件]*; *.txt

lifan88

liulangzhecgr 发表于 2015-1-3 16:36
打开此文件就看到 ip 地址 和 中文地址

2015-1-3 15:00:30    创建文件    允许

正是如此

liulangzhecgr

lifan88 发表于 2015-1-3 16:56
正是如此

你是虚拟机跑的？！还是实机？！