0199游戏捆绑远控木马，全程过360

vm001

钓鱼网址
http://www.gema0199.com/

下载链接
http://0199.oss-cn-shanghai.aliyuncs.com/0199Setup.exe

安装包备份
https://share.weiyun.com/8b55a0f6077aba26399aeeb0b264e443

安装以后，桌面快捷方式指向游戏升级程序Update.exe，Update.exe启动以后升级文件，启动游戏主程序0199game.exe，
0199game.exe加载msvcr71.dll来启动释放到Game0199\DownLoad目录下的木马文件AutoUpdate.exe，AutoUpdate.exe通过阿里云链接木马控制端





木马样本

瀚源书童

卡巴 AVC均未报  

心痛的伤不起

"";"常规行为检测, C:\Users\555555\Desktop\AutoUpdate.exe";"已删除, 已隔离";"文件或目录";"2016/12/4, 11:59:51"
"";", C:\$RECYCLE.BIN\S-1-5-21-1302222590-1356350799-4144785323-1001\$RPHA896.EXE";"已删除";"文件或目录";"2016/12/4, 11:59:51"
"";", C:\Users\555555\Desktop\msvcr71.dll";"已删除, 已隔离";"文件或目录";"2016/12/4, 11:59:51"
"";", C:\Users\555555\Desktop\DownLoad.dll";"已删除, 已隔离";"文件或目录";"2016/12/4, 11:59:51"
"";", C:\Users\555555\Desktop\AutoUpdate.exe";"已阻止该对象";"进程";"2016/12/4, 11:59:51"
"";", HKEY_USERS\SANDBOX_555555_DEFAULTBOX\MACHINE\SOFTWARE\WOW6432NODE\MICROSOFT";"已删除";"注册表项";"2016/12/4, 11:59:51"
"";", HKEY_USERS\SANDBOX_555555_DEFAULTBOX\MACHINE\SOFTWARE\WOW6432NODE";"已删除";"注册表项";"2016/12/4, 11:59:51"
"";", HKEY_USERS\SANDBOX_555555_DEFAULTBOX\USER\CURRENT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP\\PROXYBYPASS";"已删除";"注册表值";"2016/12/4, 11:59:51"
全部删除

心醉咖啡

扫描时间：[2016-12-04 12:13:34]
扫描用时：[00:00:04]
扫描类型：自定义查杀
扫描文件总数：1
扫描速度：1文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2016-12-04 12:13:44]
威胁：f:\浏览器下载\autoupdate\autoupdate.exe
类型：win32.heur.kvm099.a.(kcloud)
处理方式：删除

欧阳宣

cylance杀autoupdate

猪头无双

WD扫描不报

wuwu123400

sep14 右键不杀安装包
bd 右键不杀安装包

230f4

Bitdefender已经拉黑AutoUpdate.exe

猪头无双

第一个无视，第二个

轩夏

卡巴 miss