kis 2016 614E不定时拦截危险网址，杀毒无法找到来源

显示全部楼层 · 发表于 2016-3-22 11:56:26

本帖最后由 claudgreen 于 2016-3-23 09:49 编辑

【最新进展】已找到可疑文件上报给卡巴斯基实验室，等待回复。

事件起因：

访问 http://ah.189.cn/support/kd/lanSpeedCheck.action

下载http://adminah.xbsafe.cn/download/ct10000helper_ah.exe
哈勃文件分析：
https://habo.qq.com/file/showdetail?pk=ADQGYF1lB28IPls8
https://habo.qq.com/file/showdetail?pk=ADQGYF1lB24IPVs1
安装后开始。。。

搜索关键信息找到跟这个类似：

云、管、端三重失守，大范围挂马攻击分析 | WooYun知识库 http://drops.wooyun.org/papers/13755

[mw_shl_code=css,true]22.03.2016 11.46.12 已阻止危险网址 http://men.mob1234.com/ad/x813.html 对象: http://men.mob1234.com/ad/x813.html 对象类型: 网址原因: KSN 服务应用程序: 系统核心进程时间: 2016/3/22 11:46
22.03.2016 11.34.38 已阻止危险网址 http://men.mob1234.com/ad/cg.html 对象: http://men.mob1234.com/ad/cg.html 对象类型: 网址原因: KSN 服务应用程序: 系统核心进程时间: 2016/3/22 11:34
22.03.2016 11.26.13 已阻止危险网址 http://men.mob1234.com/ad/cg.html 对象: http://men.mob1234.com/ad/cg.html 对象类型: 网址原因: KSN 服务应用程序: 系统核心进程时间: 2016/3/22 11:26
22.03.2016 11.16.20 已阻止危险网址 http://men.mob1234.com/ad/cg.html 对象: http://men.mob1234.com/ad/cg.html 对象类型: 网址原因: KSN 服务应用程序: 系统核心进程时间: 2016/3/22 11:16
22.03.2016 11.07.37 启动任务网页反病毒时间: 2016/3/22 11:07
22.03.2016 10.57.58 下载被阻止 http://m16.lawerclub.com.cn/jdb/97526.js 对象名称: HEUR:Trojan.Script.Iframer 对象: http://m16.lawerclub.com.cn/jdb/97526.js 应用程序: 搜狗高速浏览器对象类型: 木马程序时间: 2016/3/22 10:57
22.03.2016 10.57.58 检测到对象 ( 文件 ) 。 http://m16.lawerclub.com.cn/jdb/97526.js 对象名称: HEUR:Trojan.Script.Iframer 对象: http://m16.lawerclub.com.cn/jdb/97526.js 应用程序: 搜狗高速浏览器对象类型: 木马程序时间: 2016/3/22 10:57
22.03.2016 10.57.57 已阻止危险网址 http://men.mob1234.com/ad/cg.html 对象: http://men.mob1234.com/ad/cg.html 对象类型: 网址原因: KSN 服务应用程序: 系统核心进程时间: 2016/3/22 10:57
22.03.2016 10.56.16 已阻止危险网址 http://men.mob1234.com/ad/66x.html 对象: http://men.mob1234.com/ad/66x.html 对象类型: 网址原因: KSN 服务应用程序: 系统核心进程时间: 2016/3/22 10:56
22.03.2016 10.46.21 已阻止危险网址 http://men.mob1234.com/ad/66x.html 对象: http://men.mob1234.com/ad/66x.html 对象类型: 网址原因: KSN 服务应用程序: 系统核心进程时间: 2016/3/22 10:46
22.03.2016 10.38.55 已阻止危险网址 http://men.mob1234.com/ad/66x.html 对象: http://men.mob1234.com/ad/66x.html 对象类型: 网址原因: KSN 服务应用程序: 系统核心进程时间: 2016/3/22 10:38
22.03.2016 10.29.51 下载被阻止 http://www.ip.upick.com.cn/GXRP.html 对象名称: HEUR:Exploit.Script.Generic 对象: http://www.ip.upick.com.cn/GXRP.html 应用程序: 搜狗高速浏览器对象类型: 木马程序时间: 2016/3/22 10:29
22.03.2016 10.29.51 检测到对象 ( 文件 ) 。 http://www.ip.upick.com.cn/GXRP.html 对象名称: HEUR:Exploit.Script.Generic 对象: http://www.ip.upick.com.cn/GXRP.html 应用程序: 搜狗高速浏览器对象类型: 木马程序时间: 2016/3/22 10:29
22.03.2016 10.27.55 下载被阻止 http://www.ip.upick.com.cn/GXRP.html 对象名称: HEUR:Exploit.Script.Generic 对象: http://www.ip.upick.com.cn/GXRP.html 应用程序: 系统核心进程对象类型: 木马程序时间: 2016/3/22 10:27
22.03.2016 10.27.55 检测到对象 ( 文件 ) 。 http://www.ip.upick.com.cn/GXRP.html 对象名称: HEUR:Exploit.Script.Generic 对象: http://www.ip.upick.com.cn/GXRP.html 应用程序: 系统核心进程对象类型: 木马程序时间: 2016/3/22 10:27
21.03.2016 17.24.54 已阻止危险网址 http://www.men77.com/viewfile.ph ... p;file_key=WTa5BNlP 对象: http://www.men77.com/viewfile.ph ... p;file_key=WTa5BNlP 原因: KSN 服务应用程序: 迅雷时间: 2016/3/21 17:24
21.03.2016 14.26.43 启动任务网页反病毒时间: 2016/3/21 14:26
[/mw_shl_code]

显示全部楼层 · 发表于 2016-3-22 11:59:46

http://www.ip.upick.com.cn/GXRP.html
http://www.men77.com/viewfile.ph ... p;file_key=WTa5BNlP
这两个趋势也拦截了

显示全部楼层 · 发表于 2016-3-22 12:04:59

诺顿杀掉了.....

显示全部楼层 · 发表于 2016-3-22 12:25:40

应该发样本区吧

显示全部楼层 · 发表于 2016-3-22 12:44:21

cfhdrty 发表于 2016-3-22 12:25
应该发样本区吧

只能麻烦版主转一下了

还在寻毒中。。。。

显示全部楼层 · 发表于 2016-3-22 12:55:45

本帖最后由 pal家族于 2016-3-22 12:59 编辑

重启电脑加光猫？
我瞎说的，我也不造。。。

关闭ie，清理下ie插件？

显示全部楼层 · 发表于 2016-3-22 13:26:11

好神奇啊，那个安装包在ksn是受信任的，释放到temp的文件才报毒

显示全部楼层 · 发表于 2016-3-23 09:22:49

pal家族发表于 2016-3-22 12:55
重启电脑加光猫？
我瞎说的，我也不造。。。

已经在安装目录找到两可疑文件，已经上报卡巴斯基，等待回复。

显示全部楼层 · 发表于 2016-3-23 09:30:17

cfhdrty 发表于 2016-3-22 13:26
好神奇啊，那个安装包在ksn是受信任的，释放到temp的文件才报毒

已经在安装目录找到两可疑文件，已经上报卡巴斯基，等待回复。

[求助] kis 2016 614E不定时拦截危险网址，杀毒无法找到来源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源