新鲜的狠角色，据说它会干掉Zbot，也试图干掉杀软的Win32/Carberp

驭龙

不知道是不是真的Carberp，如果是的话，会有以下效果，难道真的能禁用DrWeb？又可以干掉Zbot么？

这货反沙盘，反虚拟机，双击以后自我退出，所以没有以下行为，但实机就很危险了，不要双击玩哦。

MA关闭文件监控，双击以后，内存监控杀，果然是Carberp啊，可惜反虚拟机，无法看到它的真正威力。


密码：infected

PS：这个是我刚才自己抓的，不是老样本

Disables security software and updates
The trojan uses the plug-in "stopav.plug" to disable the update service of security software associated with vendors and applications in the following list:
• ArcaVir  
• Avast  
• AVG  
• Avira  
• BitDefender  
• DrWeb  
• ESET NOD32  
• ESET Smart Security  
• McAfee  
• Microsoft Security Essentials  
• Microsoft Security Client  
• Sophos  

The malware attempts to exploit a Windows vulnerability (MS08-025) and disable security software by overwriting the memory copy of the System Service Descriptor Table (SSDT).
Note: The vulnerability is corrected by applying Microsoft Security Bulletin MS08-025, released in April 2008.

Removes other malware
Win32/Carberp  attempts to remove the following malware families by deleting associated auto-start data and files:
• Win32/Rbot   
• Win32/EyeStye   
• Win32/Zbot

驭龙

aboringman 发表于 2015-11-11 19:14
等会，我再测一遍，肯定支持我的xp系统的

https://live.metascan-online.com ... fc140d61da9/regular
样本没有问题，这些安软全杀

230f4

就是这么任性！

先上扫描：

再来主防：

坚如磐石：

更新正常：

aboringman

躲得了初一，躲不过十五啊，卡巴就位！

先上扫描：


再来主防：

wjy19800315

我是实机操作。有点猛
解压样本不会自己运行吧
上次中招了
这次有点怕怕

aboringman

@驭龙 这家伙是有自杀行为吗，听了感觉好害怕

pal家族

我还是好好学习吧！哈~~

pal家族

aboringman 发表于 2015-11-11 18:49
躲得了初一，躲不过十五啊，卡巴就位！

先上扫描：

试试断网双击，哈~

aboringman

pal家族 发表于 2015-11-11 18:57
试试断网双击，哈~

好啊，我倒要看它能怎样

驭龙

wjy19800315 发表于 2015-11-11 18:54
我是实机操作。有点猛
解压样本不会自己运行吧
上次中招了

这个我没有改样本名，也没有改后缀，还是小心一点吧，不过我实机抓毒，NIS全程无弹框，可能是我删除样本太快，哈哈

驭龙

aboringman 发表于 2015-11-11 18:56
@驭龙 这家伙是有自杀行为吗，听了感觉好害怕

我不知道啊，没有自己分析文件，不清楚