收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › Sality母体
12
返回列表 发新帖
楼主: 断簪
 收起左侧

[病毒样本] Sality母体

[复制链接]
Jerry.Lin
发表于 2016-9-9 23:32:14 | 显示全部楼层

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

欧阳宣
头像被屏蔽
发表于 2016-9-10 00:02:51 | 显示全部楼层
fs

无法修复……
回复

举报

hansyu
发表于 2016-9-10 00:31:17 | 显示全部楼层
huihui458 发表于 2016-9-9 23:26
关键是我的MCAFEE AV云没有报，没有报，没有报


请双击……才能知道云报不报，光解压没用，是执行时扫描。
回复

举报

liulangzhecgr
发表于 2016-9-10 10:50:48 | 显示全部楼层
本帖最后由 liulangzhecgr 于 2016-9-10 10:57 编辑

系统：win7 x32  基本用户运行样本

2016/9/10 09:50:59    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\program files\virustest\infected\atio.exe
命令行: "C:\Program Files\VirusTest\infected\atio.exe"
规则: [应用程序]c:\windows\explorer.exe

2016/9/10 09:51:45    修改注册表值    允许
进程: c:\program files\virustest\infected\atio.exe
目标: HKEY_USERS\S-1-5-21-4144792320-3414818432-2231444586-1005\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
值: 0x00000002(2)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/10 09:52:58    访问COM接口    允许
进程: c:\program files\virustest\infected\atio.exe
目标: {9BA05972-F6A8-11CF-A442-00A0C90A8F39} ShellWindows
规则: [应用程序组]病毒测试 -> [COM接口]*

2016/9/10 09:53:49    访问COM接口    允许
进程: c:\program files\virustest\infected\atio.exe
目标: {682159D9-C321-47CA-B3F1-30E36B2EC8B9} CLSID_DesktopExplorerHost
文件路径: %SystemRoot%\explorer.exe /factory,{682159d9-c321-47ca-b3f1-30e36b2ec8b9}
规则: [应用程序组]病毒测试 -> [COM接口]*

2016/9/10 09:54:05    修改注册表值    允许
进程: c:\program files\virustest\infected\atio.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
值: 0x00000000(0)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/10 09:54:14    创建文件    允许
进程: c:\program files\virustest\infected\atio.exe
目标: C:\Windows\45aeb
规则: [应用程序组]病毒测试 -> [文件]*

2016/9/10 09:54:41    删除文件    允许
进程: c:\program files\virustest\infected\atio.exe
目标: C:\Users\yiqing\AppData\Local\VirtualStore\Windows\45aeb
规则: [应用程序组]病毒测试 -> [应用程序]c:\program files\virustest\infected\atio.exe -> [文件]c:\users\yiqing\appdata\local\virtualstore\windows; 45aeb

2016/9/10 09:55:21    修改其他进程的内存    允许
进程: c:\program files\virustest\infected\atio.exe
目标: c:\windows\system32\taskhost.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/9/10 09:55:31    创建文件    允许
进程: c:\program files\virustest\infected\atio.exe
目标: C:\Users\yiqing\AppData\Local\Temp\sqjv.exe
规则: [应用程序组]病毒测试 -> [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 09:55:40    在其他进程中创建线程    允许
进程: c:\program files\virustest\infected\atio.exe
目标: c:\windows\system32\taskhost.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/9/10 09:55:48    创建文件    允许
进程: c:\program files\virustest\infected\atio.exe
目标: C:\Windows\INF\setupapi.app.log
规则: [应用程序组]病毒测试 -> [文件]*

2016/9/10 09:55:58    修改其他进程的内存    允许
进程: c:\program files\virustest\infected\atio.exe
目标: c:\windows\system32\dwm.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/9/10 09:56:17    在其他进程中创建线程    允许
进程: c:\program files\virustest\infected\atio.exe
目标: c:\windows\system32\dwm.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/9/10 09:56:31    修改其他进程的内存    允许
进程: c:\program files\virustest\infected\atio.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/9/10 09:56:35    在其他进程中创建线程    允许
进程: c:\program files\virustest\infected\atio.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/9/10 09:56:40    修改其他进程的内存    允许
进程: c:\program files\virustest\infected\atio.exe
目标: c:\windows\system32\taskmgr.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/9/10 09:56:49    在其他进程中创建线程    允许
进程: c:\program files\virustest\infected\atio.exe
目标: c:\windows\system32\taskmgr.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/9/10 09:57:26    删除注册表值    允许
进程: c:\program files\virustest\infected\atio.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\AlternateShell
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/10 09:58:21    删除注册表项    允许
进程: c:\program files\virustest\infected\atio.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/10 09:58:29    创建文件    允许
进程: c:\program files\virustest\infected\atio.exe
目标: C:\Windows\system32\drivers\jsjls.sys
规则: [应用程序组]病毒测试 -> [应用程序]c:\program files\virustest\infected\atio.exe -> [文件]c:\windows\system32\*

2016/9/10 10:00:31    访问网络    允许
进程: c:\program files\virustest\infected\atio.exe
目标: UDP [本机 : 59571] ->  [112.252.255.255 : 64624]
规则: [应用程序组]病毒测试 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016/9/10 10:02:20    访问网络    允许
进程: c:\program files\virustest\infected\atio.exe
目标: TCP [本机 : 49158] ->  [52.28.249.128 : 80 (http)]
规则: [应用程序组]病毒测试 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016/9/10 10:02:43    创建文件    允许
进程: c:\program files\virustest\infected\atio.exe
目标: C:\Users\yiqing\AppData\Local\Temp\winugwqe.exe
规则: [应用程序组]病毒测试 -> [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:02:48    访问网络    允许
进程: c:\program files\virustest\infected\atio.exe
目标: TCP [本机 : 49159] ->  [190.120.227.91 : 8080]
规则: [应用程序组]病毒测试 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016/9/10 10:04:50    修改注册表值    允许
进程: c:\windows\system32\taskhost.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UacDisableNotify
值: 0x00000001(1)
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security center

2016/9/10 10:04:54    创建文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\Users\yiqing\AppData\Local\Temp\ckebwp.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:04:56    修改文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\Users\yiqing\AppData\Local\Temp\ckebwp.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:05:03    创建文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\Windows\system32\drivers\jsjls.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2016/9/10 10:05:10    修改文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\Users\yiqing\AppData\Local\Temp\ckebwp.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:05:13    删除文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\Users\yiqing\AppData\Local\Temp\ckebwp.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:05:39    修改文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\7777\makeiso.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:05:42    创建文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\Users\yiqing\AppData\Local\Temp\qiea.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:05:45    修改文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\7777\makeiso.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:05:48    设置文件隐藏属性    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\7777\makeiso.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:06:09    修改文件    阻止
进程: c:\windows\system32\taskhost.exe
目标: G:\Download\VIP在线视频解析器\VIP在线视频解析器.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:06:20    删除文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\Users\yiqing\AppData\Local\Temp\qiea.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:07:13    修改文件    阻止
进程: c:\windows\system32\taskhost.exe
目标: E:\MyTools\ARKTools\AntiRookit4Dream\AntiRookit4Dream.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:07:37    修改文件    阻止
进程: c:\windows\system32\taskhost.exe
目标: G:\Download\看片神器\看片神器.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/10 10:10:10    修改文件    允许
进程: c:\windows\system32\taskhost.exe
目标: C:\Program Files\Baofeng\BaofengShow\AppUpdator.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe







被样本修改后的快照对比

运行样本之前快照



基本用户运行样本，防御失败！

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

Microsoftheihei
发表于 2016-9-10 11:16:44 | 显示全部楼层
咖啡入库了

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

Renascence
发表于 2016-9-11 10:51:47 | 显示全部楼层
解压诺顿杀之

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

liulangzhecgr
发表于 2016-9-14 14:13:29 | 显示全部楼层
系统： win7 x32  基本用户权限运行样本

2016/9/14 08:06:30    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\program files\virustest\sality\atio.exe
命令行: "C:\Program Files\VirusTest\Sality\atio.exe"
规则: [应用程序]c:\windows\explorer.exe

2016/9/14 08:07:05    修改注册表值    阻止
进程: c:\program files\virustest\sality\atio.exe
目标: HKEY_USERS\S-1-5-21-4144792320-3414818432-2231444586-1005\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
值: 0x00000002(2)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/14 08:07:23    修改注册表值    阻止
进程: c:\program files\virustest\sality\atio.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\
值: 0x00000001(1)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/14 08:08:01    修改注册表值    阻止
进程: c:\program files\virustest\sality\atio.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA
值: 0x00000000(0)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/14 08:08:19    修改注册表值    阻止
进程: c:\program files\virustest\sality\atio.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
值: 0x00000000(0)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/14 08:09:20    创建注册表项    允许
进程: c:\program files\virustest\sality\atio.exe
目标: HKEY_USERS\S-1-5-21-4144792320-3414818432-2231444586-1005\Software\Ralckc
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/14 08:09:27    修改注册表值    允许
进程: c:\program files\virustest\sality\atio.exe
目标: HKEY_USERS\S-1-5-21-4144792320-3414818432-2231444586-1005\Software\Ralckc\y1_0
值: 0xfffffc70(4294966384)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/9/14 08:09:32    修改文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: C:\Windows\system.ini
规则: [应用程序组]病毒测试 -> [文件组]系统关键文件 -> [文件]c:\windows; system.ini

2016/9/14 08:10:03    设置文件隐藏属性    允许
进程: c:\program files\virustest\sality\atio.exe
目标: C:\7777\makeiso.exe
规则: [应用程序组]病毒测试 -> [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/14 08:10:21    读文件夹    允许
进程: c:\program files\virustest\sality\atio.exe
目标: F:\Program Files\KaijiHuanyuanjingling
规则: [应用程序组]病毒测试 -> [文件]*

2016/9/14 08:10:24    读文件夹    允许
进程: c:\program files\virustest\sality\atio.exe
目标: G:\Download\资料
规则: [应用程序组]病毒测试 -> [文件]*

2016/9/14 08:10:29    设置文件隐藏属性    允许
进程: c:\program files\virustest\sality\atio.exe
目标: C:\7777\Makeu.exe
规则: [应用程序组]病毒测试 -> [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/14 08:10:33    读文件夹    允许
进程: c:\program files\virustest\sality\atio.exe
目标: E:\MyTools\ARKTools
规则: [应用程序组]病毒测试 -> [文件]*

2016/9/14 08:10:38    创建文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: C:\Users\yiqing\AppData\Local\Temp\winwvgny.exe
规则: [应用程序组]病毒测试 -> [文件组]所有执行文件 -> [文件]*; *.exe

2016/9/14 08:10:43    读文件夹    允许
进程: c:\program files\virustest\sality\atio.exe
目标: D:\VFP\class
规则: [应用程序组]病毒测试 -> [文件]*

。。。 。。。

2016/9/14 08:11:40    创建文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: C:\autorun.inf
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/9/14 08:12:19    创建文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: D:\autorun.inf
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/9/14 08:12:36    创建文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: D:\nyoqdg.pif
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/9/14 08:12:59    创建文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: E:\autorun.inf
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/9/14 08:13:15    创建文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: F:\autorun.inf
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/9/14 08:13:19    读文件夹    允许
进程: c:\program files\virustest\sality\atio.exe
目标: E:\MyTools\CheckFilesTools
规则: [应用程序组]病毒测试 -> [文件]*

2016/9/14 08:13:38    创建文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: F:\bkqwvo.pif
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/9/14 08:13:56    创建文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: G:\autorun.inf
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/9/14 08:14:10    创建文件    允许
进程: c:\program files\virustest\sality\atio.exe
目标: G:\embwg.exe
规则: [应用程序组]病毒测试 -> [文件]?:\


默认基本用户之下，可执行文件被样本皆被修改；修改基本用户权限之后，尚未发现文件被样本修改。
回复

举报

轩夏
发表于 2016-9-18 10:15:38 | 显示全部楼层
MSE

atio.exe
Infected: Virus:Win32/Sality.AT
回复

举报

12
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-7-17 11:49 , Processed in 0.131038 second(s), 14 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表