ESET漏掉的一个貌似伪装成inter显卡驱动的衍生样本

显示全部楼层 · 发表于 2017-1-10 22:02:33

lifan88 发表于 2017-1-10 17:58
提醒，这极其极其可能是远控兄弟

没察觉到远控。。其中创建的一个自启动服务被我给删了。。当时是嫌他占资源。。

。后面感到不对劲，放沙盘里溜了一圈发现不是个好东西。沙盘中创建的我都从实机里删除了。eset不靠谱加了火绒、360都扫描了一遍，应该没啥事了

显示全部楼层 · 发表于 2017-1-11 08:01:22

FSCS:

显示全部楼层 · 发表于 2017-1-11 10:38:52

母体微点入库，衍生物微点拦截

显示全部楼层 · 发表于 2017-1-11 12:32:04

ARISTZL 发表于 2017-1-10 22:02
没察觉到远控。。其中创建的一个自启动服务被我给删了。。当时是嫌他占资源。。。后面感到不对劲 ...

那个典型动作，联网127.0.0.1和联网到一个中国的IP，然后对方还在线的

大兄弟，你最好小心了

显示全部楼层 · 发表于 2017-1-11 13:00:42

360 报后门 Win32/Backdoor.1b0

显示全部楼层 · 发表于 2017-1-11 18:29:19

卡巴全杀了

显示全部楼层 · 发表于 2017-1-13 09:59:56

lifan88 发表于 2017-1-10 17:57
MD抓到的动作，召唤远控党
2017/1/10 17:37:44 创建新进程允许
进程: c:\windows\explorer. ...

兜了这么大一圈子来伪装svchost，这远控不一般

显示全部楼层 · 发表于 2017-1-13 10:32:03

swizzer 发表于 2017-1-13 09:59
兜了这么大一圈子来伪装svchost，这远控不一般

其实没什么

显示全部楼层 · 发表于 2017-1-13 10:35:11

lifan88 发表于 2017-1-13 10:32
其实没什么

我见过的无非是自身加载黑dll进行远控，还没有见过这么冗长的远控步骤。。。
学习了

显示全部楼层 · 发表于 2017-1-13 10:38:47

swizzer 发表于 2017-1-13 10:35
我见过的无非是自身加载黑dll进行远控，还没有见过这么冗长的远控步骤。。。
学习了

不如白加黑，这种一看就看出来了，太明显了

[病毒样本] ESET漏掉的一个貌似伪装成inter显卡驱动的衍生样本