QQ钓鱼易语言病毒

显示全部楼层 · 发表于 2018-2-12 18:09:08

安全守护者发表于 2018-2-12 18:03
估计这个程序还会查询密码是否正确或者密码位数是否正确

一般会第一次输入无论是否正确弹窗不正确，第二次输入和第一次输入密码一致才会发送到盗号者服务器

显示全部楼层 · 发表于 2018-2-12 18:32:36

王国之心00 发表于 2018-2-12 18:09
一般会第一次输入无论是否正确弹窗不正确，第二次输入和第一次输入密码一致才会发送到盗号者服务器

执行:打开文件:C:\Windows\Fonts\staticcache.dat
数据已经Dump：大小 83
执行：发送数据（TCP）到：139.199.0.45:4679

复制代码

不过我发现IP似乎是腾讯的。

WHOIS results for: 139.199.0.45
% [whois.apnic.net]
% Whois data copyright terms http://www.apnic.net/db/dbcopyright.html
% Information related to '139.199.0.0 - 139.199.255.255'
% Abuse contact for '139.199.0.0 - 139.199.255.255' is 'ipas@cnnic.cn'
inetnum: 139.199.0.0 - 139.199.255.255
netname: TencentCloud
descr: Tencent cloud computing (Beijing) Co., Ltd.
descr: Floor 6, Yinke Building,38 Haidian St,
descr: Haidian District Beijing
admin-c: JT1125-AP
tech-c: JX1747-AP
country: CN
mnt-by: MAINT-CNNIC-AP
mnt-lower: MAINT-CNNIC-AP
mnt-routes: MAINT-CNNIC-AP
mnt-irt: IRT-CNNIC-CN
status: ALLOCATED PORTABLE
last-modified: 2015-01-29T06:14:02Z
source: APNIC
irt: IRT-CNNIC-CN
address: Beijing, China
e-mail: ipas@cnnic.cn
abuse-mailbox: ipas@cnnic.cn
admin-c: IP50-AP
tech-c: IP50-AP
auth:
# Filtered
remarks: Please note that CNNIC is not an ISP and is not
remarks: empowered to investigate complaints of network abuse.
remarks: Please contact the tech-c or admin-c of the network.
mnt-by: MAINT-CNNIC-AP
last-modified: 2017-11-01T08:57:39Z
source: APNIC
person: James Tian
address: 9F, FIYTA Building, Gaoxinnanyi Road,Southern
address: District of Hi-tech Park, Shenzhen
country: CN
phone: +86-755-86013388-84952
e-mail: harveyduan@tencent.com
nic-hdl: JT1125-AP
mnt-by: MAINT-CNNIC-AP
last-modified: 2016-10-31T07:10:47Z
source: APNIC
person: Jimmy Xiao
address: 9F, FIYTA Building, Gaoxinnanyi Road,Southern
address: District of Hi-tech Park, Shenzhen
country: CN
phone: +86-755-86013388-80224
e-mail: harveyduan@tencent.com
nic-hdl: JX1747-AP
mnt-by: MAINT-CNNIC-AP
last-modified: 2016-11-04T05:51:38Z
source: APNIC
% Information related to '139.199.0.0/16AS45090'
route: 139.199.0.0/16
descr: TencentCloud
descr: Tencent cloud computing (Beijing) Co., Ltd.
country: CN
origin: AS45090
notify: jimmyxiao@tencent.com
mnt-by: MAINT-CNNIC-AP
last-modified: 2016-01-21T09:24:01Z
source: APNIC
% This query was served by the APNIC Whois Service version 1.88.15-43 (WHOIS-US4)

复制代码

显示全部楼层 · 发表于 2018-2-12 20:44:48

瑞星反恶软引擎命令行扫描器（社区交流版）
编译于：Sep 22 2017 15:07:50
提示：
- 本工具供社区交流使用，请勿用于其他用途
- 本工具没有恶意软件删除、清除、隔离功能
- 本工具包含开发中的新特性，结果仅供参考
* 命令行中的选项开关：
* 获取恶软签名库最新版本 ...
* 下载恶软签名库配置文件 ...
* 创建恶软签名库升级组件 ...
* 计算并下载增量文件 ...
* 下载 3695-3694.rp ... 成功
* 下载 3696-3695.rp ... 成功
* 升级恶软签名库 ...
* 处理 3695-3694.rp, 错误码 = 0
* 处理 3696-3695.rp, 错误码 = 0
* 恶软签名库升级成功
* 扫描目标 : (1) C:\Users\USER\AppData\Local\Temp\Rar$VR16868.13151
* 加载恶软签名库： C:\Users\USER\Downloads\Compressed\RDM20171130x64/malware.rmd
* 恶软签名库加载成功，发布序号为 3696
* 读取恶软签名库配置 ...
* 云辅助扫描组件初始化失败.
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
扫描开始: Mon Feb 12 20:44:34 2018
C:\Users\USER\AppData\Local\Temp\Rar$VR16868.13151\Rar$Scan7810.bat ... ok
C:\Users\USER\AppData\Local\Temp\Rar$VR16868.13151\1月份对账单_2.rar\1月份对账单.exe ... ok
扫描结束: Mon Feb 12 20:44:38 2018
总扫描耗时: 0:3:301(m:s:ms)
总扫描对象: 2
总扫描文件: 2
总恶意文件: 0
有效检出率: 0.00%

复制代码

显示全部楼层 · 发表于 2018-2-12 21:00:52

BDF 双击ATC杀

显示全部楼层 · 发表于 2018-2-12 21:27:14

王国之心00 发表于 2018-2-12 16:56
在火绒论坛看到的，火绒已入库

哪个帖子啊？

显示全部楼层 · 发表于 2018-2-12 22:46:59

安全守护者发表于 2018-2-12 21:27
哪个帖子啊？

在那帖子也看到你了http://bbs.huorong.cn/thread-43732-1-2.html

显示全部楼层 · 发表于 2018-2-13 01:34:53

mbam miss

显示全部楼层 · 发表于 2018-2-13 09:01:36

这样的可执行程序很多，看很多杀毒软件是靠特征码入库，显得很无奈呀！
我觉得这种模仿入口的登录程序，应该由官方网站想办法解决，肯定能解决，
还有那些银行登录程序，也是如此。

显示全部楼层 · 发表于 2018-2-13 13:36:30

erui 发表于 2018-2-13 09:01
这样的可执行程序很多，看很多杀毒软件是靠特征码入库，显得很无奈呀！
我觉得这种模仿入口的登录程序，应 ...

模仿入口的登录程序数据压根不走官方网站，是独立的程序，官方网站没办法。顶多QQ客户端防止被病毒关闭下线或隐藏窗口

显示全部楼层 · 发表于 2018-2-13 15:08:19

刚下载完就被360隔离了。。

[病毒样本] QQ钓鱼易语言病毒

本帖子中包含更多资源