850游戏木马变种

vm001

哈勃
https://habo.qq.com/file/showdetail?pk=ADYGZl1lB2EIPFs1

关键行为
行为描述：        对比可疑进程名
详情信息：       
stricmp: [System Process] <------> avp.exe Des: 卡巴斯基
lstrcmpiA: System <------> avp.exe Des: 卡巴斯基
lstrcmpiA: smss.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: csrss.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: winlogon.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: services.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: lsass.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: 33oxService.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: 33acthlp.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: svchost.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: spoolsv.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: 33UpgradeHelper.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: alg.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: explorer.exe <------> avp.exe Des: 卡巴斯基
lstrcmpiA: 33oxTray.exe <------> avp.exe Des: 卡巴斯基
行为描述：        获取TickCount值
详情信息：       
TickCount = 5353500, SleepMilliseconds = 500.
TickCount = 5361968, SleepMilliseconds = 1000.
TickCount = 5370953, SleepMilliseconds = 1000.
TickCount = 5378881, SleepMilliseconds = 100.
行为描述：        自删除
详情信息：       
C:\Documents and Settings\Administrator\Local Settings\%temp%\****.exe
行为描述：        创建系统服务
详情信息：       
[服务创建成功]: DirectX ufo, C:\WINDOWS\dgnfgw.exe
行为描述：        进程提权信息
详情信息：       
NT AUTHORITY\SYSTEM

fireherman

ESET 解压 kill

第一次看见ESET这种报法：

[mw_shl_code=css,true]2016-9-18 18:48:39        文件系统实时防护        文件        E:\VirZ\850lobby.exe        未查明的 NewHeur_PE 病毒        通过删除清除        RAYMOND-9B1A7AC\Raymond        在应用程序新建的文件上发生事件: C:\Program Files\7-Zip\7zG.exe (95CE9136E708712C2A29EE18BE48DD028018B558).        41E368567B50240F989FF16B21290728765B8C8C        2016-9-18 18:48:38[/mw_shl_code]

南海游仙

蓝天二号

AVG  直接不让下载的，，

驭龙

fireherman 发表于 2016-9-18 18:50
ESET 解压 kill

第一次看见ESET这种报法：

这就是传说中凌驾于启发之上的高启发检测报毒名，确实是不多见的高启发报毒

诸葛亮

文件名: 850lobby.exe
威胁名称: Backdoor.Trojan完整路径: c:\users\m\desktop\新建文件夹\850lobby\850lobby.exe

____________________________

____________________________


在电脑上 
2016/9/18 ( 18:59:03 )

上次使用时间 
2016/9/18 ( 19:01:03 )

启动项 
否

已启动 
否

威胁类型: 病毒。 将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。

____________________________


850lobby.exe 威胁名称: Backdoor.Trojan
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


https://att.kafan.cn/forum.php?mo ... DkzMjUyOHwyMDU3MjEw
已下载文件 从 att.kafan.cn
来源: 外部介质

850lobby.exe

____________________________

文件操作

文件: c:\users\m\desktop\新建文件夹\850lobby\ 850lobby.exe 已删除
____________________________


文件指纹 - SHA:
5aa1e9c1f062c58968cbaa2a7bbd58db6e7c48c22a8777338bf6c72e4a3af555
文件指纹 - MD5:
不可用

fireherman

驭龙 发表于 2016-9-18 18:57
这就是传说中凌驾于启发之上的高启发检测报毒名，确实是不多见的高启发报毒

难道是因为楼主先前发的850包，ESET全部Miss，然后上报处理中？

但没理由啊，高启发不是也需要本地库的吗？

我先去看看邮件。

驭龙

fireherman 发表于 2016-9-18 19:15
难道是因为楼主先前发的850包，ESET全部Miss，然后上报处理中？

但没理由啊，高启发不是也需要本地库 ...

高启发是完全的本地杀，不是云杀，云杀是suspicious object

fireherman

驭龙 发表于 2016-9-18 19:18
高启发是完全的本地杀，不是云杀，云杀是suspicious object

明白，谢谢了。

Eset小粉絲

AVIRA
The pattern of 'TR/AD.Farfli.rbet [trojan]'
detected in file 'C:\Users\User\Downloads\850lobby.exe.