8c63b5264c0334a02ad5f63e6b061e61

360Tencent

http://intumyself.tistory.com/1889

http://103.40.161.145:8888/

http://www.filehosting.org/file/ ... A1%B5.selection.tar

注： 不愿意去链接下载的，可以直接到103.40.161.145:8888下载

XywCloud

终于看到这种东西了。
2012年我就开始盯这种东西了。

xcvbaby

毒霸 miss

steven_lzs

EAV miss

aboringman

满眼白加黑。。。。。。趋势 miss all（未双击）

360Tencent

XywCloud 发表于 2015-8-22 16:37
终于看到这种东西了。
2012年我就开始盯这种东西了。

http://viruslab.tistory.com/m/post/2142

你感受下这个，虽然不是俗称的“白加黑”形式，觉得不够我还有07年的链接，韩国的黑产有相当部分是东北的朝鲜族干的

XywCloud

360Tencent 发表于 2015-8-22 17:21
http://viruslab.tistory.com/m/post/2142

你感受下这个，虽然不是俗称的“白加黑”形式，觉得不够 ...

韩文表示阅读困难

ELOHIM

Microsoft 反恶意软件 已检测到恶意软件或其他可能不需要的软件。
有关更多信息，请查看下列内容:
http://go.microsoft.com/fwlink/?linkid=37020&name=Backdoor:Win32/Zegost.BW&threatid=2147686661&enterprise=1
  名称: Backdoor:Win32/Zegost.BW
  ID: 2147686661
  严重性: 严重
  类别: 后门程序
  路径:
containerfile:_C:\Documents and Settings\^\桌面\x\1100\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\1111\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\1258\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\2222\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\3333\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\3366\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\5566\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\6666\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\6677\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\6789\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\7766\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\9876\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\x\9999\wc.dat;
containerfile:_C:\Documents and Settings\^\桌面\首页.folder.tar;
file:_C:\Documents and Settings\^\桌面\x\1100\wc.dat->(OleData);
file:_C:\Documents and Settings\^\桌面\x\1111\wc.dat->(OleData);
file:_C:\Documents and Sett
  检测原点: 本地计算机
  检测类型: 具体
  检测源: 下载和附件
  用户: ^\^
  进程名称: C:\Program Files\7-Zip\7zFM.exe
  签名版本: AV: 1.205.188.0, AS: 1.205.188.0, NIS: 0.0.0.0
  引擎版本: AM: 1.1.12002.0, NIS: 0.0.0.0

有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持
-----
Alert level: Severe
First detected by definition: 1.173.304.0
Latest detected by definition: 1.205.144.0 and higher
First detected on: Apr 22, 2014
This entry was first published on: May 20, 2014
This entry was updated on: May 21, 2014
This threat is also detected as:
BackDoor-FBZT!52D84425CDF2 (McAfee)

Trojan.Win32.Staser.ytq (Kaspersky)

-------

Trojan:Win32/Hitbrovi!dha

类别: 特洛伊木马

描述: 这个程序很危险，而且执行来自攻击者的命令。

推荐的操作: 立即删除这个软件。

项目:
containerfile:C:\Documents and Settings\^\桌面\首页.folder.tar
file:C:\Documents and Settings\^\桌面\x\1100\PotPlayer.dll
file:C:\Documents and Settings\^\桌面\x\5566\PotPlayer.dll
file:C:\Documents and Settings\^\桌面\x\6677\PotPlayer.dll
file:C:\Documents and Settings\^\桌面\首页.folder.tar->1100/PotPlayer.dll
file:C:\Documents and Settings\^\桌面\首页.folder.tar->5566/PotPlayer.dll
file:C:\Documents and Settings\^\桌面\首页.folder.tar->6677/PotPlayer.dll
webfile:C:\Documents and Settings\^\桌面\首页.folder.tar|http://103.40.161.145:8888/?mode=archive&recursive
webfile:C:\Program Files\Microsoft Security Client\Microsoft Antimalware\LocalCopy\{BC74ED6B-B4D8-42DF-BB1F-AA00ECC30585}-首页.folder.tar|http://103.40.161.145:8888/?mode=archive&recursive

联机获取此项的详细信息。

-----
Alert level: Severe

First detected by definition: 1.201.1342.0
Latest detected by definition: 1.203.1825.0 and higher
First detected on: Jul 09, 2015 This entry was first published on: Jul 11, 2015
This entry was updated on: Not available
This threat is also detected as:
No known aliases

XywCloud

360Tencent 发表于 2015-8-22 17:21
http://viruslab.tistory.com/m/post/2142

你感受下这个，虽然不是俗称的“白加黑”形式，觉得不够 ...

另外，似乎这种白Exe+黑Dll乃至于通过rundll32直接去call对应黑Dll的某个导出函数之类的东西【后者在你上次发的一个CVE里面有体现，特地OD跟了下，第一步也是把payload用密钥进行异或解密，最终有危害的是解密后的payload。后面回到原Dll领空的时候还有一个流程，那个我还没跟，过段时间再看】，国内国外都已经有很多了，只不过个人觉得，前者很有可能是咱们天朝人发明的。
对于你说的后半句话，感觉跟个要扯到政治问题上面去了，不作评论。

pal家族

给大神们跪了