ESET漏掉的一个貌似伪装成inter显卡驱动的衍生样本

Dolby123

KIS

XZ8SM7Sx0bVkoUV

火绒

欧阳宣

fs

Trojan-Dropper:W32/Daidrop.A

Eset小粉絲

Avira
The pattern of 'TR/Dropper.Gen [trojan]'
detected in file 'C:\Users\Ivan\Downloads\DNF解除15天升级版.exe'.
The pattern of 'TR/Agent.8704.266 [trojan]'
detected in file 'C:\Users\Ivan\Downloads\igfxCUIServica.exe'.

lifan88

MD抓到的动作，召唤远控党
2017/1/10 17:37:44    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\users\test\desktop\dnf解除15天升级版.exe
命令行: "C:\Users\test\Desktop\DNF解除15天升级版.exe"
规则: [应用程序]c:\windows\explorer.exe

2017/1/10 17:37:49    创建文件    允许
进程: c:\users\test\desktop\dnf解除15天升级版.exe
目标: C:\Users\test\AppData\Local\Temp\DNF解除15天升级版.exe
规则: [应用程序]* -> [文件]*

2017/1/10 17:38:22    创建新进程    允许
进程: c:\users\test\desktop\dnf解除15天升级版.exe
目标: c:\users\test\appdata\local\temp\dnf解除15天升级版.exe
命令行: "C:\Users\test\AppData\Local\Temp\DNF解除15天升级版.exe"
规则: [应用程序]*

2017/1/10 17:38:30    创建文件    允许
进程: c:\users\test\desktop\dnf解除15天升级版.exe
目标: C:\Users\test\AppData\Local\Temp\igfxCUIServica.exe
规则: [应用程序]* -> [文件]*

2017/1/10 17:38:53    读文件    允许
进程: c:\users\test\desktop\dnf解除15天升级版.exe
目标: C:\Users\test\AppData\Local\Temp\igfxCUIServica.exe
规则: [应用程序]* -> [文件]*

2017/1/10 17:38:56    创建新进程    允许
进程: c:\users\test\desktop\dnf解除15天升级版.exe
目标: c:\users\test\appdata\local\temp\igfxcuiservica.exe
命令行: "C:\Users\test\AppData\Local\Temp\igfxCUIServica.exe"
规则: [应用程序]*

2017/1/10 17:39:29    创建文件    允许
进程: c:\users\test\desktop\dnf解除15天升级版.exe
目标: C:\Users\test\AppData\Local\Temp\svchost.exe
规则: [应用程序]* -> [文件]*

2017/1/10 17:40:59    读文件    允许
进程: c:\users\test\appdata\local\temp\igfxcuiservica.exe
目标: C:\Windows\Fonts\StaticCache.dat
规则: [应用程序]* -> [文件]*

2017/1/10 17:41:03    创建文件    允许
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: C:\Windows\KTERAEL31.dll
规则: [应用程序]* -> [文件]*

2017/1/10 17:41:18    创建文件    允许
进程: c:\users\test\appdata\local\temp\igfxcuiservica.exe
目标: C:\Users\test\AppData\Local\Temp\Server
规则: [应用程序]* -> [文件]*

2017/1/10 17:41:36    创建新进程    阻止
进程: c:\windows\system32\svchost.exe
目标: c:\windows\system32\rundll32.exe
命令行: C:\Windows\System32\rundll32.exe C:\Windows\System32\FirewallControlPanel.dll,ShowNotificationDialog /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 2 "C:\users\test\appdata\local\temp\igfxcuiservica.exe"
规则: [应用程序]c:\windows\system32\svchost.exe

2017/1/10 17:41:57    修改文件    阻止
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: C:\Users\test\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
规则: [应用程序]* -> [文件]*

2017/1/10 17:42:01    设置文件隐藏属性    允许
进程: c:\users\test\appdata\local\temp\igfxcuiservica.exe
目标: C:\Users\test\AppData\Local\Temp\Server
规则: [应用程序]* -> [文件]*

2017/1/10 17:42:16    创建新进程    允许
进程: c:\users\test\appdata\local\temp\igfxcuiservica.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c move "C:\Users\test\AppData\Local\Temp\igfxCUIServica.exe" "C:\Windows\igfxCUIServica.exe"&C:\Windows\igfxCUIServica.exe&exit
规则: [应用程序]*

2017/1/10 17:42:29    修改文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Users\test\AppData\Local\Temp\igfxCUIServica.exe
规则: [应用程序]* -> [文件]*


2017/1/10 17:42:39    创建文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Windows\igfxCUIServica.exe
规则: [应用程序]* -> [文件]*

2017/1/10 17:44:31    修改其他进程的线程    允许
进程: c:\windows\system32\services.exe
目标: c:\users\test\appdata\local\temp\svchost.exe
规则: [应用程序]c:\windows\system32\services.exe

2017/1/10 17:45:47    访问COM接口    允许
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: {A47979D2-C419-11D9-A5B4-001185AD2B89} Network List Manager
规则: [应用程序]*

2017/1/10 17:45:50    访问COM接口    允许
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: {A47979D2-C419-11D9-A5B4-001185AD2B89} Network List Manager
规则: [应用程序]*

2017/1/10 17:45:56    读文件    允许
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: C:\Users\test\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk\rasphone.pbk
规则: [应用程序]* -> [文件]*

2017/1/10 17:46:00    访问网络    允许
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: TCP [本机 : 49159] ->  [121.14.154.59 : 990 (ftps)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017/1/10 17:46:02    访问网络    允许
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: UDP [本机 : 60371] ->  [127.0.0.1 : 60371]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017/1/10 17:46:33    访问网络    阻止
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: TCP [本机 : 49160] ->  [23.27.192.114 : 1122]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]


2017/1/10 17:47:39    访问网络    阻止
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: TCP [本机 : 49161] ->  [121.14.154.59 : 990 (ftps)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017/1/10 17:47:41    访问网络    允许
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: UDP [本机 : 60371] ->  [127.0.0.1 : 60371]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017/1/10 17:47:45    访问网络    阻止
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: TCP [本机 : 49162] ->  [121.14.154.59 : 990 (ftps)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017/1/10 17:47:51    访问网络    阻止并结束进程
进程: c:\users\test\appdata\local\temp\svchost.exe
目标: TCP [本机 : 49163] ->  [23.27.192.114 : 1122]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]


部分重要动作，无关动作已略，WIN7-32位

lifan88

提醒，这极其极其可能是远控兄弟

petr0vic

英九

nazisoft

COMODO都杀了

gtc

解压微点报！