祝大家五一劳动节愉~~~~快地玩Atmos——名气很大的ZeuS的变种

T.Yoshiyuki

connelly 发表于 2016-5-1 13:49
sep x2

诺顿入库



atmos.exe跟SEP报法不同啊，感觉SEP准一点？

蓝天二号

大蜘蛛

nick20010117

什么鬼，把winrar杀了……

connelly

T.Yoshiyuki 发表于 2016-5-1 23:49
诺顿入库

观察好细致~

阿里小白帽

轩夏

微软

C:\Users\XuanXia\Desktop\Atmos Banking Trojan\Atmos Infected: PWS:Win32/Zbot!CI
C:\Users\XuanXia\Desktop\Atmos Banking Trojan\Citadel??Atmos.exe Infected: Trojan:Win32/Dorv.D!rfn

liulangzhecgr

win7 x32 用apploker阻止！

2016/5/3 14:22:19    创建新进程    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: g:\download\atmos banking trojan\citadel变种atmos.exe
命令行: "G:\Download\Atmos Banking Trojan\Citadel变种Atmos.exe"
规则: [应用程序组]病毒测试

2016/5/3 14:22:28    创建文件    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: C:\Users\baba\AppData\Local\Temp\tmp2D56.tmp
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 14:22:32    创建文件    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: C:\Users\baba\AppData\Local\Temp\tmp46C1.tmp
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 14:22:38    创建文件夹    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: C:\Users\baba\AppData\Roaming\Ewukzuulem
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 14:22:42    创建文件    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: C:\Users\baba\AppData\Roaming\Ewukzuulem\boomcyteu.exe
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 14:22:46    创建文件夹    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: C:\Users\baba\AppData\Roaming\Esgauxweig
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 14:22:49    创建文件    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: C:\Users\baba\AppData\Roaming\Esgauxweig\axyzdere.ofa
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 14:22:54    创建文件夹    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: C:\Users\baba\AppData\Roaming\Ciarremaq
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 14:22:57    创建文件    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: C:\Users\baba\AppData\Roaming\Ciarremaq\yxrisaqieli.tai
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 14:23:01    创建注册表项    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Poob
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/3 14:23:07    创建文件    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: C:\Users\baba\AppData\Local\Temp\tmp0ba04192.bat
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 14:23:19    创建新进程    允许
进程: g:\download\atmos banking trojan\citadel变种atmos.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\baba\AppData\Local\Temp\tmp0ba04192.bat"
规则: [应用程序组]病毒测试 -> [子应用程序]*