祝大家五一劳动节愉~~~~快地玩Atmos——名气很大的ZeuS的变种

显示全部楼层 · 发表于 2016-5-1 12:50:20

本帖最后由 230f4 于 2016-5-1 13:50 编辑

祝大家五一快乐
内含样本2X压缩包密码infected

https://threatpost.com/zeus-bank ... mos-variant/117344/
https://business.kaspersky.com/a ... ng-businesses/5476/

@aboringman

显示全部楼层 · 发表于 2016-5-1 12:52:43

360报了，FD当然也要报

显示全部楼层 · 发表于 2016-5-1 13:04:40

本帖最后由电脑发烧友于 2016-5-1 14:02 编辑

火绒扫描杀。

提取物

火绒保护全开的情况下，taskhost.exe被插入可疑线程，针对explorer的防御成功。

【1】2016-05-01 13:30:20,系统防护,进程保护,taskhost.exe触犯进程防护规则, 已阻止

操作进程：C:\Windows\System32\taskhost.exe
风险动作：修改资源管理器
目标进程：C:\Windows\explorer.exe
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【2】2016-05-01 13:30:18,系统防护,注册表保护,taskhost.exe触犯注册表防护规则, 已忽略

操作进程：C:\Windows\System32\taskhost.exe
风险动作：修改启动项
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Huuxigwy
用户操作：已忽略

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【3】2016-05-01 13:30:14,系统防护,自定义防护,#Citadel #Atmos.exe触犯 , 已忽略

操作进程：C:\Users\wuliao\Desktop\Atmos Banking Trojan\#Citadel #Atmos.exe
触犯规则：文件组➢脚本批处理即将被执行\调用命令行
操作类型：执行
C:\Windows\System32\cmd.exe
用户操作：已忽略

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【4】2016-05-01 13:30:13,系统防护,自定义防护,#Citadel #Atmos.exe触犯 , 已忽略

操作进程：C:\Users\wuliao\Desktop\Atmos Banking Trojan\#Citadel #Atmos.exe
触犯规则：文件组➢脚本批处理即将被执行\调用命令行
操作类型：执行
C:\Windows\system32\cmd.exe
用户操作：已忽略

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【5】2016-05-01 13:30:12,系统防护,自定义防护,#Citadel #Atmos.exe触犯自定义文件防护规则, 已忽略

操作进程：C:\Users\wuliao\Desktop\Atmos Banking Trojan\#Citadel #Atmos.exe
触犯规则：文件组 ➢可执行文件
操作类型：创建
操作文件：C:\Users\wuliao\AppData\Local\Temp\tmp1f74a3bc.bat
用户操作：已忽略

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【6】2016-05-01 13:30:08,系统防护,自定义防护,svchost.exe触犯自定义文件防护规则, 已阻止

操作进程：C:\Windows\System32\svchost.exe
触犯规则：行为防御➢风险程序禁运
操作类型：读取
操作文件：C:\Windows\System32\wscript.exe
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【7】2016-05-01 13:30:08,系统防护,自定义防护,svchost.exe触犯自定义文件防护规则, 已阻止

操作进程：C:\Windows\System32\svchost.exe
触犯规则：行为防御➢风险程序禁运
操作类型：读取
操作文件：C:\Windows\System32\cscript.exe
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【8】2016-05-01 13:30:08,系统防护,自定义防护,svchost.exe触犯自定义文件防护规则, 已阻止

操作进程：C:\Windows\System32\svchost.exe
触犯规则：行为防御➢风险程序禁运
操作类型：读取
操作文件：C:\Windows\System32\regsvr32.exe
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【9】2016-05-01 13:30:06,系统防护,自定义防护,#Citadel #Atmos.exe触犯自定义文件防护规则, 已忽略

操作进程：C:\Users\wuliao\Desktop\Atmos Banking Trojan\#Citadel #Atmos.exe
触犯规则：文件组 ➢可执行文件
操作类型：创建
操作文件：C:\Users\wuliao\AppData\Roaming\Ewexaskyamri\tyuwtiba.exe
用户操作：已忽略

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【10】2016-05-01 13:30:02,系统防护,自定义防护,WmiPrvSE.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Windows\System32\wbem\WmiPrvSE.exe
触犯规则：注册表组➢虚拟机反检测
操作类型：读取
操作注册表：HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

批处理内容
[mw_shl_code=css,true]@echo off
:d
del "C:\Users\wuliao\Desktop\Atmos Banking Trojan\#Citadel #Atmos.exe"
if exist "C:\Users\wuliao\Desktop\Atmos Banking Trojan\#Citadel #Atmos.exe" goto d
del /F "C:\Users\wuliao\AppData\Local\Temp\tmpddb6a80e.bat"[/mw_shl_code]

动作发起者	动作	目标
C:\Users\wuliao\Desktop\#Citadel #Atmos.exe	直接键盘访问
C:\Users\wuliao\Desktop\#Citadel #Atmos.exe	创建进程	C:\Users\wuliao\Desktop\#Citadel #Atmos.exe
C:\Users\wuliao\Desktop\#Citadel #Atmos.exe	创建进程	C:\Users\wuliao\AppData\Roaming\Tiitxydiydir\yxofarac.exe
C:\Users\wuliao\Desktop\#Citadel #Atmos.exe	访问内存	C:\Windows\System32\taskhost.exe
C:\Users\wuliao\AppData\Roaming\Tiitxydiydir\yxofarac.exe	直接键盘访问
C:\Users\wuliao\AppData\Roaming\Tiitxydiydir\yxofarac.exe	创建进程	C:\Users\wuliao\AppData\Roaming\Tiitxydiydir\yxofarac.exe
C:\Users\wuliao\Desktop\#Citadel #Atmos.exe	创建进程	C:\Users\wuliao\AppData\Local\Temp\tmpbee1f033.bat
C:\Users\wuliao\AppData\Roaming\Tiitxydiydir\yxofarac.exe	访问内存	C:\Windows\System32\taskhost.exe
C:\Users\wuliao\AppData\Roaming\Tiitxydiydir\yxofarac.exe	访问内存	C:\Users\wuliao\Desktop\#Citadel #Atmos.exe
C:\Users\wuliao\Desktop\#Citadel #Atmos.exe	创建进程	C:\Windows\System32\cmd.exe
C:\Users\wuliao\AppData\Roaming\Tiitxydiydir\yxofarac.exe	访问内存	C:\Windows\System32\taskhost.exe

显示全部楼层 · 发表于 2016-5-1 13:08:05

本帖最后由 ymb668888 于 2016-5-1 13:11 编辑

卡巴一个入库，一个启发杀

01.05.2016 13.06.13;检测到的对象 ( 文件 ) 已删除。;C:\Users\Administrator\Downloads\病毒测试\Atmos.exe;Microsoft Windows Search Protocol Host;C:\Users\Administrator\Downloads\病毒测试\Atmos.exe;05/01/2016 13:06:13;Trojan-Spy.Win32.Zbot.wltn

01.05.2016 13.06.19;检测到的对象 ( 文件 ) 已删除。;C:\Users\Administrator\Downloads\病毒测试\#Citadel #Atmos.exe;Microsoft Windows Search Protocol Host;C:\Users\Administrator\Downloads\病毒测试\#Citadel #Atmos.exe;05/01/2016 13:06:19;HEUR:Trojan.Win32.Generic

显示全部楼层 · 发表于 2016-5-1 13:11:56

金山云本地各1

显示全部楼层 · 发表于 2016-5-1 13:17:07

显示全部楼层 · 发表于 2016-5-1 13:24:48

显示全部楼层 · 发表于 2016-5-1 13:28:11

hmpa第一个miss，被加启动项
第二个win10预览版闪退
自带病毒免疫buff，ye！

显示全部楼层 · 发表于 2016-5-1 13:31:46

显示全部楼层 · 发表于 2016-5-1 13:39:09

本帖最后由 nick20010117 于 2016-5-1 13:40 编辑

关闭监控双击kill第一个，第二个报错

[其他相关] 祝大家五一劳动节愉~~~~快地玩Atmos——名气很大的ZeuS的变种

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

浏览过的版块