（QQ群蠕虫） VT：1/42 最新高质量

zhanghongyuan1

触发idp

尘梦幽然

利刀1937 发表于 2015-2-7 13:31
360沙箱运行，然后。。。qq群被传了东西、、、纳尼

这个东西样本源应该在这里吧
http://bbs.kafan.cn/thread-1808449-1-1.html

心痛的伤不起

利刀1937 发表于 2015-2-7 13:51
对。。。好几十群。。。。删到手软啊。。。。

那么问题来了。。。。我在三楼发的那个微博。。。。360 ...

这种只能拉黑大法好，估计没拉黑把，还

275751198

尘梦幽然 发表于 2015-2-7 19:27
这个东西样本源应该在这里吧
http://bbs.kafan.cn/thread-1808449-1-1.html

我才看到竟然有人发，不过我之前没看到他发，我是在安全新闻播报里看的

dongwenqi

每顿需吃三大碗 发表于 2015-2-7 13:11
红伞miss

个人签名不错啊，有视频么

hddu

解压密码？ 大爷，大大爷，拜托你了。

每顿需吃三大碗

dongwenqi 发表于 2015-2-7 20:07
个人签名不错啊，有视频么

本人信佛，不看那种乌七八糟的视频，所以无法回答施主的问题

275751198

hddu 发表于 2015-2-7 20:10
解压密码？ 大爷，大大爷，拜托你了。

infected

劳烦测试一下本帖样本谢谢   @AnonymousM

AnonymousM

275751198 发表于 2015-2-7 20:12
infected

劳烦测试一下本帖样本谢谢   @AnonymousM

右键过火绒，双击过病毒防护和未知病毒拦截

目测那个签名骗倒了一大堆
VT扫描 5/55
CMC        Heur.Win32.Obfuscated.1!O        1.1.0.977        20150205       
TrendMicro-HouseCall        Suspicious_GEN.F47V0206        9.700.0.1001        20150207       
Tencent        Win32.Worm.Qqworm.Auto        1.0.0.1        20150207       
Ikarus        Trojan-PWS.Online        T3.1.8.6.0        20150207       
Qihoo-360        Trojan.Generic        1.0.0.1015        20150207       

感觉SSF没拦截到啥有用的，一个执行exe和两个连接DNS

MD单步的日志：
c:\windows\explorer.exe    创建新进程    c:\users\***\desktop\天使嫩女视频全集.exe    允许    [应用程序]*    命令行: "C:\Users\***\Desktop\天使嫩女视频全集.exe"
c:\windows\system32\services.exe    修改其他进程的线程    c:\users\***\desktop\天使嫩女视频全集.exe    允许    [应用程序]c:\windows\system32\services.exe   
c:\users\***\desktop\天使嫩女视频全集.exe    创建文件    C:\Users\***\Desktop\dc.dll    允许    [文件组]所有执行文件 -> [文件]*; *.dll   
c:\users\***\desktop\天使嫩女视频全集.exe    访问网络    TCP [本机 : 49590] ->  [101.226.103.81 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\users\***\desktop\天使嫩女视频全集.exe    访问网络    UDP [本机 : 63606] ->  [127.0.0.1 : 63606]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49595] ->  [96.17.109.162 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49596] ->  [108.162.232.201 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49597] ->  [23.44.155.27 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49598] ->  [23.44.155.27 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49599] ->  [23.44.155.27 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49600] ->  [23.44.149.163 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49601] ->  [23.44.155.27 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49602] ->  [23.44.155.27 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49603] ->  [23.44.155.27 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49604] ->  [23.44.149.163 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    创建新进程    c:\windows\system32\audiodg.exe    允许    [应用程序]*    命令行: C:\Windows\system32\AUDIODG.EXE 0x5f4
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49607] ->  [23.44.149.163 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49608] ->  [23.44.149.163 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49609] ->  [23.44.155.27 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49610] ->  [23.44.155.27 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49611] ->  [23.44.155.27 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49612] ->  [23.44.149.163 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   
c:\windows\system32\svchost.exe    访问网络    TCP [本机 : 49614] ->  [23.44.149.163 : 80 (http)]    允许    [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]   

就这些吧。。。

sec001

1/42........那么到底是哪家报的呢？