File name: propsys.dll Detection ratio: 5 / 55 SpyShelter Firewall挑战神网

墨家小子

有挂马地址，不服的可以自行测试

SHA256:        6a37d8395ebe5ca526ac0ee0ad418884370d494c164c91437ac36a4ac3b3db71
File name:        propsys.dll
Detection ratio:        5 / 55
Analysis date:        2016-03-26 10:14:37 UTC ( 3 minutes ago )
https://www.virustotal.com/en/file/6a37d8395ebe5ca526ac0ee0ad418884370d494c164c91437ac36a4ac3b3db71/analysis/1458987277/

AVG        Win32/Heim        20160326
Baidu        Win32.Trojan.WisdomEyes.151026.9950.9999        20160325
Bkav        HW64.packed.2E43        20160326
Malwarebytes        Trojan.Bedep        20160326
Rising        PE:Malware.Generic(Thunder)!1.A1C4 [F]        20160326

SHA256:        80ab4f08fdd4ce8349870856d430db73423b3dfe09e6cbaebd70935930fe4996
File name:        TMPD8A4.exe
Detection ratio:        7 / 57
Analysis date:        2016-03-26 10:28:20 UTC ( 1 minute ago )
https://www.virustotal.com/en/file/80ab4f08fdd4ce8349870856d430db73423b3dfe09e6cbaebd70935930fe4996/analysis/1458988100/

AhnLab-V3        Win-Trojan/Lockycrypt.Gen        20160325
Baidu        Win32.Trojan.WisdomEyes.151026.9950.9999        20160325
Kaspersky        UDS:DangerousObject.Multi.Generic        20160326
Malwarebytes        Ransom.TeslaCrypt        20160326
Qihoo-360        HEUR/QVM07.1.0000.Malware.Gen        20160326
TrendMicro-HouseCall        Ransom_HPCRYPTESLA.SM2        20160326
ViRobot        Trojan.Win32.U.Teslacrypt.335872[h]        20160326

第一波攻击：恶意代码控制IE先是在C:\ProgramData创建文件夹，然后启动conhost，由conhost启动taskhost和explorer，这些都是SSF可以看到的，ESET说你Y看到各种注入了么？conhost启动taskhost和explorer不假，你看到conhost注入taskhost和explorer了么？SSF说我看不到，ESET说，SSF，你是不是瞎？这一波攻击最后，由被注入的explorer在C:\ProgramData创建文件夹并将木马DLL安家落户，但没有启动这个dll，欲知……







第二波攻击就是explorer疯狂启动各种系统程序（具备联网能力的）并联网，下载什么看不到，SSF说，我瞎









最后一波攻击就是被注入的explorer启动regsvr32，由regsvr32创建文件夹及木马DLL，创建之后regsvr32启动taskhost，干什么，我不知道……

vm001

C:\Users\Admin\Desktop\TMPD8A4.rar 239.49 KB 危险 360浏览器下载 2016-03-26 18:40
C:\Users\Admin\Desktop\rdpencom.rar 304.43 KB 未知 360浏览器下载 2016-03-26 18:40
C:\Users\Admin\Desktop\ifsdrives.rar 304.43 KB 未知 360浏览器下载 2016-03-26 18:40
C:\Users\Admin\Desktop\propsys.rar 304.43 KB 未知 360浏览器下载 2016-03-26 18:40

墨家小子

要手工注册“E:\CPCW.dll”，只需在“开始→运行”中键入“Regsvr32   E:\CPCW.dll”

vm001

墨家小子 发表于 2016-3-26 18:42
要手工注册“E:\CPCW.dll”，只需在“开始→运行”中键入“Regsvr32   E:\CPCW.dll”

手工注册需要UAC提权不？

墨家小子

vm001 发表于 2016-3-26 18:43
手工注册需要UAC提权不？

能不能别问我，我……种地的

275751198

楼主你不是说神网挂了吗？日常上报dll

vm001

墨家小子 发表于 2016-3-26 18:44
能不能别问我，我……种地的

种地的跑卡饭做什么
测试dll加载，手工注册属于无意义测试

墨家小子

vm001 发表于 2016-3-26 18:46
种地的跑卡饭做什么
测试dll加载，手工注册属于无意义测试

也不能天天撸啊，营养跟不上，只好来卡饭跟你们这些高手学习一下网络安全知识回去村里也有得吹了

MXCERILYF!

AVG

墨家小子

275751198 发表于 2016-3-26 18:46
楼主你不是说神网挂了吗？日常上报dll

我错了，前几次，IE卡在那，我没耐心等，其实等一两分钟就出来了，不过你是知道我的，分分钟几百万上下，哪有时间等它啊