新鲜的狠角色，据说它会干掉Zbot，也试图干掉杀软的Win32/Carberp

驭龙

aboringman 发表于 2015-11-11 19:21
看来是我的问题，这货检测到沙盘就自杀
刚才实机双击，这货释放了一个hh.exe到c盘Application Dat ...

哇，看起来还是很好玩的东西吧，居然反沙，不知反不反虚拟机

aboringman

驭龙 发表于 2015-11-11 19:24
哇，看起来还是很好玩的东西吧，居然反沙，不知反不反虚拟机

等会，我发现它添加了开机启动项，容我重启看看它会干啥

sunnyjianna

文件名: d6f7g8.exe
威胁名称: Trojan Horse完整路径: c:\users\penny\documents\egdownloads\d6f7g8\d6f7g8\d6f7g8.exe

____________________________

____________________________


在电脑上的创建时间 
2015/11/11 ( 19:31:19 )

上次使用时间 
2015/11/11 ( 19:31:19 )

启动项目 
否

已启动 
否

威胁类型: 病毒。 将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。

____________________________


d6f7g8.exe 威胁名称: Trojan Horse
定位


少量用户信任的文件
诺顿社区中有 不到 100 名用户使用了此文件。

新建的文件
该文件已在 14 天 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质


____________________________

文件操作

文件: c:\users\penny\documents\egdownloads\d6f7g8\d6f7g8\ d6f7g8.exe 已阻止
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

aboringman

驭龙 发表于 2015-11-11 19:24
哇，看起来还是很好玩的东西吧，居然反沙，不知反不反虚拟机

太好玩了，什么都没做就被卡巴主防斩了，果然是玩笑程序（卡巴毫发无伤，系统未见异常）

驭龙

aboringman 发表于 2015-11-11 19:38
太好玩了，什么都没做就被卡巴主防斩了，果然是玩笑程序（卡巴毫发无伤，系统未见异常）

它不攻击卡巴，卡巴当然安然无恙，因为卡巴不是它的攻击目标，如果是玩笑程序，PDM是不会杀的，哈

aboringman

驭龙 发表于 2015-11-11 19:41
它不攻击卡巴，卡巴当然安然无恙，因为卡巴不是它的攻击目标，如果是玩笑程序，PDM是不会杀的，哈

确实，都已经报木马了，当然不是玩笑程序啦
龙大，不如试试你的WD会不会被终结吧，嘻嘻嘻

pal家族

ATC何在！！？？

驭龙

aboringman 发表于 2015-11-11 19:42
确实，都已经报木马了，当然不是玩笑程序啦
龙大，不如试试你的WD会不会被终结吧，嘻嘻嘻

我虚拟机不支持win 10 win 7上是MEP，明天我试一下

aboringman

驭龙 发表于 2015-11-11 19:44
我虚拟机不支持win 10 win 7上是MEP，明天我试一下

这个东西应该是跟其他木马/病毒同时使用的，单干的话就只有被干掉的份，我想应该是这样，哈
@230f4 看看BD会不会被终结吧

天耀群星

该样本： 加注册表开机启动项两个，读命名管道。创建两个可执行exe文件。注册表software添加和设置。访问com组件。

2010/1/1 02:54:23    读文件    阻止
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: \Device\NamedPipe\samr
规则: [应用程序组]待测试组-未知程序       ????? -> [文件]\device\namedpipe\samr


2010/1/1 02:52:34    读文件夹    允许
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: C:\Windows
规则: [应用程序组]待测试组-未知程序       ????? -> [文件]c:\

2010/1/1 02:52:34    修改注册表值    阻止                       【设置开机启动】
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\twunk_32.exe
值: C:\Users\ljx\AppData\Roaming\Y1FeZFVYXllb\twunk_32.exe
规则: [应用程序组]待测试组-未知程序       ????? -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2010/1/1 02:52:34    创建文件    阻止
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: C:\Users\ljx\AppData\Roaming\Y1FeZFVYXllb\twunk_32.exe
规则: [应用程序组]待测试组-未知程序       ????? -> [文件组]保护-可执行文件

2010/1/1 02:52:34    修改注册表值    阻止
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\d6f7g8.exe
值: C:\Users\ljx\Desktop\d6f7g8\d6f7g8\d6f7g8.exe
规则: [应用程序组]待测试组-未知程序       ????? -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2010/1/1 02:52:34    加载动态链接库    阻止
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: c:\windows\system32\rpcrtremote.dll
规则: [应用程序组]待测试组-未知程序       ????? -> [动态链接库]c:\windows\system32\rpcrtremote.dll

2010/1/1 02:52:38    访问COM接口    允许
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: {8BC3F05E-D86B-11D0-A075-00C04FB68820}
规则: [应用程序组]待测试组-未知程序       ?????


2010/1/1 02:54:45    修改注册表值    阻止   高危
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\winhlp32.exe
值: C:\Users\ljx\AppData\Roaming\Y1FeZFVYXllb\winhlp32.exe
规则: [应用程序组]待测试组-未知程序       ????? -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2010/1/1 02:54:45    创建文件    阻止
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: C:\Users\ljx\AppData\Roaming\Y1FeZFVYXllb\winhlp32.exe
规则: [应用程序组]待测试组-未知程序       ????? -> [文件组]保护-可执行文件


2010/1/1 02:55:28    创建注册表项    允许
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: HKEY_CURRENT_USER\Software\Y1FeZFVYXllb
规则: [应用程序组]待测试组-未知程序       ????? -> [注册表]*

2010/1/1 02:55:34    修改注册表值    允许
进程: c:\users\ljx\desktop\d6f7g8\d6f7g8\d6f7g8.exe
目标: HKEY_CURRENT_USER\Software\Y1FeZFVYXllb\arr
值: aHR0cDovL2V4b3RlbHl4YWwuY29tL2Zldy90YXNrcy5waHA=
规则: [应用程序组]待测试组-未知程序       ????? -> [注册表]*