一个免杀远控

jdsh

FSP   miss
2019/7/13 14:59:59    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\users\jdsh\downloads\图片\图片.exe
命令行: "C:\Users\jdsh\Downloads\图片\图片.exe"
规则: [应用程序]*

2019/7/13 15:00:01    创建新进程    允许
进程: c:\windows\system32\svchost.exe
目标: c:\users\jdsh\downloads\图片\图片.exe
命令行: "C:\Users\jdsh\Downloads\图片\图片.exe"
规则: [应用程序]*

2019/7/13 15:00:02    修改文件    允许
进程: c:\users\jdsh\downloads\图片\图片.exe
目标: \Device\NamedPipe\__fships_hook_server__
规则: [文件]*

2019/7/13 15:00:04    创建新进程    允许
进程: c:\users\jdsh\downloads\图片\图片.exe
目标: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
命令行: "Data\QQNetBar.exe"
规则: [应用程序]*

2019/7/13 15:00:07    创建文件夹    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame
规则: [文件]*

2019/7/13 15:00:08    设置文件夹隐藏属性    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame
规则: [文件]*

2019/7/13 15:00:10    创建文件    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame\pass.gif
规则: [文件]*

2019/7/13 15:00:13    修改文件    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame\pass.gif
规则: [文件]*

2019/7/13 15:00:14    创建文件    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame\QQNetBar.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2019/7/13 15:00:16    创建文件    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame\UClientStartup.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2019/7/13 15:00:18    修改文件    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame\QQNetBar.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2019/7/13 15:00:21    修改文件    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: C:\ProgramData\F-Secure\Log\ComputerSecurity\ShellExtension.log
规则: [文件]*

2019/7/13 15:00:23    修改文件    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: C:\ProgramData\F-Secure\Log\CCF\fs_customization_reader.log
规则: [文件]*

2019/7/13 15:00:57    修改文件    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: \Device\NamedPipe\FS_CCFIPC_9789836347330146333
规则: [文件]*

2019/7/13 15:00:58    修改文件    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: \Device\NamedPipe\srvsvc
规则: [文件]*

2019/7/13 15:01:02    创建新进程    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: c:\users\jdsh\appdata\roaming\playgame\qqnetbar.exe
命令行: "C:\Users\jdsh\AppData\Roaming\playgame\QQNetBar.exe" lvse
规则: [应用程序]*

2019/7/13 15:01:10    创建新进程    允许
进程: c:\users\jdsh\downloads\图片\data\qqnetbar.exe
目标: c:\windows\system32\rundll32.exe
命令行: rundll32.exe C:\Windows\System32\shimgvw.dll,ImageView_Fullscreen C:\Users\jdsh\Downloads\图片\Data\使用说明.png
规则: [应用程序]*

2019/7/13 15:01:17    修改文件 (4)    允许
进程: c:\users\jdsh\appdata\roaming\playgame\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame\pass.gif
规则: [文件]*

2019/7/13 15:01:24    修改文件 (2)    允许
进程: c:\users\jdsh\appdata\roaming\playgame\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame\QQNetBar.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2019/7/13 15:01:26    修改文件    允许
进程: c:\users\jdsh\appdata\roaming\playgame\qqnetbar.exe
目标: C:\Users\jdsh\AppData\Roaming\playgame\UClientStartup.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2019/7/13 15:01:30    创建文件    允许
进程: c:\users\jdsh\appdata\roaming\playgame\qqnetbar.exe
目标: C:\QQGame.exe
规则: [文件]?:\

2019/7/13 15:01:31    修改文件    允许
进程: c:\users\jdsh\appdata\roaming\playgame\qqnetbar.exe
目标: C:\QQGame.exe
规则: [文件]?:\

2019/7/13 15:01:33    创建新进程    允许
进程: c:\users\jdsh\appdata\roaming\playgame\qqnetbar.exe
目标: c:\qqgame.exe
命令行: c:\QQGame.exe
规则: [应用程序]*

2019/7/13 15:01:38    底层键盘操作    阻止并结束进程
进程: c:\users\jdsh\appdata\roaming\playgame\qqnetbar.exe
规则: [应用程序]*

2019/7/13 15:01:45    修改文件    阻止并结束进程
进程: c:\qqgame.exe
目标: \Device\NamedPipe\__fships_hook_server__
规则: [文件]*

2019/7/13 15:01:47    访问网络    阻止并结束进程
进程: c:\users\jdsh\appdata\roaming\playgame\qqnetbar.exe
目标: TCP [本机 : 49504] ->  [120.24.231.105 : 5555]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

skilly

   a2挂咯

   


  各种花里胡哨的，记录键盘，访问摄像头，截图窗口.

iiieo

skilly 发表于 2019-7-13 15:23
a2挂咯

   

可以把截图删掉了？

www-tekeze

5个文件，绒智都是杀2X，图片.exe 和 UClientStartup.dll 。。。剩余有空双击。。

DPT1

www-tekeze

2512975065 发表于 2019-7-13 14:18
运行QQNETBAR，火绒报毒

这个QQNetBar有阿里有效数签，怎么成勒索了。。    @火绒工程师

我这里双击没发现问题，只是会联网而已，智量主防也没反应！

www-tekeze

www-tekeze 发表于 2019-7-13 21:56
这个QQNetBar有阿里有效数签，怎么成勒索了。。    @火绒工程师

我这里双击没发现问题，只是会 ...

刚才多次双击样本没重启，可能火绒出问题了。。。现在报黑dll为后门但不报QQNetBar.exe 。。

SUARP-BIGNUM

www-tekeze 发表于 2019-7-13 22:14
刚才多次双击样本没重启，可能火绒出问题了，现在会报后门不是主防报勒索，但智量监控和主防都没反应，被 ...

头晕吧，这个样本活跃度很强