今天新样本太少，我发一个，不知是不是威胁的可疑文件，只有卡巴启发杀

尘梦幽然

swq0503 发表于 2015-3-30 17:10
http://fireeye.ijinshan.com/analyse.html?md5=1f2744826187e583ee3d7f521a515c32&sha1=d5cad413f6838490e ...

创建进程：http://www.caogenchuangyejidi.co ... DM0LmV4ZQ==/40.html
启动参数：无
创建进程：%ProgramFiles%\Internet Explorer\iexplore.exe
启动参数："%ProgramFiles%\Internet Explorer\iexplore.exe" -nohome
创建进程：无
启动参数：uzocdqlqxy_1202000019.exe
创建进程：无
启动参数：setup_10006.exe
创建进程：无
启动参数：ztzjiklit_116_setup.exe
创建进程：无
启动参数：9377sssg_Y_mgaz_01.exe
创建进程：无
启动参数：2345Explorer_329242_silence.exe
创建进程：无
启动参数：QQPCDownload71671.exe
创建进程：无
启动参数：wlyx905848.exe
创建进程：无
启动参数：install1078565.exe
创建进程：无
启动参数：IQIYIsetup_l_spl004@kb010.exe
创建进程：无
启动参数：Baidu_Com_90000355.exe
创建进程：无
启动参数：KeLe2014Beta3.6.2Promote0326_20090195130.exe

驭龙

swq0503 发表于 2015-3-30 17:10
http://fireeye.ijinshan.com/analyse.html?md5=1f2744826187e583ee3d7f521a515c32&sha1=d5cad413f6838490e ...

看火眼的分析，应该是一个强大的下载器，调用IE启动。

这东西还能连接那么多的IP，确实不是个好东西啊

swq0503

尘梦幽然 发表于 2015-3-30 17:14
创建进程：http://www.caogenchuangyejidi.com/OTI4bDExMGw2NDM0LmV4ZQ==/40.html
启动参数：无
创建进 ...

我实机运行也是秒退...

pal家族

这不是启发啊，龙大。
30.03.2015 17.23.34;检测到的对象（文件）已删除。;D:\搜狗高速下载\928l110l6434\928l110l6434.exe;D:\搜狗高速下载\928l110l6434\928l110l6434.exe;UDS:DangerousObject.Multi.Generic;未知威胁;03/30/2015 17:23:34
这是云杀的。
这个样本是一个下载器，我之前上报很多次了，才入库。最近几天卡巴疯狂精简病毒库，将它的识别码删除了，然后移到云端了，所以报毒是UDS

XywCloud

流氓软件下载器。

驭龙

pal家族 发表于 2015-3-30 17:28
这不是启发啊，龙大。
30.03.2015 17.23.34;检测到的对象（文件）已删除。;D:\搜狗高速下载\928l110l6434\ ...

你认为我会乱说么？Kaspersky的报毒方法我还是很清楚的，我不解释，看图吧

狐狸糊涂

AVAST没报..

pal家族

驭龙 发表于 2015-3-30 17:43
你认为我会乱说么？Kaspersky的报毒方法我还是很清楚的，我不解释，看图吧

看来是在线扫描网站和本地不一样。
但是，本地确实是云杀的呢

驭龙

pal家族 发表于 2015-3-30 18:12
看来是在线扫描网站和本地不一样。
但是，本地确实是云杀的呢

我本地不是Kaspersky，所以我说的是VT上的情况。

你要的改MD5以后的样本，在线网站的卡巴依然报启发
https://www.metascan-online.com/ ... e168e407e6603250e7e

浅暮、浅离

驭龙 发表于 2015-3-30 18:20
我本地不是Kaspersky，所以我说的是VT上的情况。

你要的改MD5以后的样本，在线网站的卡巴依然报启发 ...

这个改MD5的我MISS了大大！！！