自用电脑抓到的木马

轩夏

蜘蛛
NetSyst96.dll
BackDoor.PcClient.6543

蓝天二号

Windows

wyc2011

火绒杀毒mis。。。

xyz0703

卡巴miss

luxl

卡巴好像没有报。。。

→龍少爺→

→龍少爺→ 发表于 2016-5-29 20:00
貌似360只杀附件里的 exe 文件，对 dll 文件予以放行了，但我觉得 dll 文件才是关键吧

附上，

火眼报告
http://fireeye.ijinshan.com/anal ... 34ce&type=1#key

哈勃报告
https://habo.qq.com/file/showdet ... pk=ADcGZ11sB24IO1s7

→龍少爺→

我想说，我联系了下卖这个木马的人，确定了这是一款远控。 免杀做的不错，那么多软件没检测出来。

liulangzhecgr

2016/5/30 14:12:20    创建文件夹    允许
进程: g:\download\outlook\dadada.exe
目标: C:\Program Files\OutLook
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/30 14:12:27    创建文件    允许
进程: g:\download\outlook\dadada.exe
目标: C:\Program Files\OutLook\NetSyst96.dll
规则: [应用程序组]病毒测试 -> [文件组]所有执行文件 -> [文件]*; *.dll

2016/5/30 14:13:37    创建文件夹    允许
进程: g:\download\outlook\dadada.exe
目标: C:\Users\baba\AppData\Local\Temp\Temporary Internet Files
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/30 14:13:47    创建文件夹    允许
进程: g:\download\outlook\dadada.exe
目标: C:\Users\baba\AppData\Local\Temp\Temporary Internet Files\Content.IE5
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/30 14:15:22    创建文件夹    允许
进程: g:\download\outlook\dadada.exe
目标: C:\Users\baba\AppData\Local\Temp\Cookies
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/30 14:15:27    创建文件夹    允许
进程: g:\download\outlook\dadada.exe
目标: C:\Users\baba\AppData\Local\Temp\History
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/30 14:18:29    访问网络    允许
进程: g:\download\outlook\dadada.exe
目标: TCP [本机 : 49493] ->  [121.42.104.50 : 80 (http)]
规则: [应用程序组]病毒测试 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016/5/30 14:18:42    创建文件    允许
进程: g:\download\outlook\dadada.exe
目标: C:\Users\baba\AppData\Local\Temp\Temporary Internet Files\Content.IE5\GALWO4RL\NetSyst96[1].dll
规则: [应用程序组]病毒测试 -> [文件组]所有执行文件 -> [文件]*; *.dll

njjsxy

卡巴云拉黑

ELOHIM

a1121611810 发表于 2016-5-29 20:32

现在报毒名貌似不是这个了