KUGOO有漏洞？！

显示全部楼层 · 发表于 2008-4-11 22:59:54

2008-04-11 22:48:14 创建文件    操作:允许
进程路径:C:\Program Files\KuGoo2007\KuGoo.exe
文件路径:C:\windows\system32\.exe
触发规则:所有程序规则->系统文件->%WinDir%\*.exe

2008-04-11 22:48:17 创建文件    操作:允许
进程路径:C:\windows\system32\.exe
文件路径:C:\windows\ctfmon.exe
触发规则:所有程序规则->系统文件->%WinDir%\*.exe

2008-04-11 22:48:17 创建文件    操作:允许
进程路径:C:\windows\system32\.exe
文件路径:C:\windows\system32\drivers\ntdfdisk.sys
触发规则:所有程序规则->系统文件->%WinDir%\system32\drivers\*.sys

2008-04-11 22:48:28 加载驱动程序    操作:阻止
进程路径:C:\windows\system32\services.exe
驱动路径:C:\windows\system32\drivers\ntdfdisk.sys
触发规则:所有程序规则->*

2008-04-11 22:48:34 创建文件    操作:阻止
进程路径:C:\windows\ctfmon.exe
文件路径:C:\tmp.dat
触发规则:所有程序规则->系统文件->%systemdrive%\*

2008-04-11 22:48:38 删除文件    操作:阻止
进程路径:C:\windows\system32\.exe
文件路径:C:\WINDOWS\system32\drivers\ntdfdisk.sys
触发规则:所有程序规则->系统文件->%WinDir%\system32\drivers\*.sys

刚打开酷狗，倒是没留意到它创建文件C:\windows\system32\.exe (规则只记录不拦截)
等一下查一查IE临时文件夹....

显示全部楼层 · 发表于 2008-4-11 23:10:09

kugoo是常年被人挂马的，不神奇

显示全部楼层 · 发表于 2008-4-11 23:11:18

警惕什么，这里需要的是样本

显示全部楼层 · 发表于 2008-4-11 23:24:50

程序文件http://b.s102-cnzz.com/0rl.exe

应该是从这里获得http://a.s102-cnzz.com/web/web1.htm

打开一看，发现是联众的控件漏洞，但是我的电脑没装联众呀
注册表搜索也没找到它的CLSID
真是奇怪了

显示全部楼层 · 发表于 2008-4-11 23:26:24

不出意外还有
http://b.s102-cnzz.com/0pps.exe
http://b.s102-cnzz.com/0lz.exe

显示全部楼层 · 发表于 2008-4-11 23:33:30

看来都是免杀过的

江民MISS

显示全部楼层 · 发表于 2008-4-11 23:36:12

最新的机器狗木马，当然免杀啦
不过它释放的C:\windows\ctfmon.exe江民好像可以杀

显示全部楼层 · 发表于 2008-4-12 00:36:37

如果我说更来一个惊喜，如何？

[oo]
c0=http://219.129.239.88/1.exe
c1=http://219.129.239.88/2.exe
c2=http://219.129.239.88/3.exe
c3=http://219.129.239.88/4.exe
c4=http://219.129.239.88/5.exe
c5=http://219.129.239.88/6.exe
c6=http://219.129.239.88/7.exe
c7=http://219.129.239.88/8.exe
c8=http://219.129.239.88/9.exe
c9=http://219.129.239.88/10.exe
c10=http://219.129.239.88/11.exe
c11=http://219.129.239.88/12.exe
c12=http://219.129.239.88/13.exe
c13=http://219.129.239.88/14.exe
c14=http://219.129.239.88/15.exe
c15=http://219.129.239.88/16.exe
c16=http://219.129.239.88/17.exe
c17=http://219.129.239.88/18.exe
c18=http://219.129.239.88/19.exe
c19=http://219.129.239.88/20.exe
c20=http://219.129.239.88/21.exe
c21=http://219.129.239.88/22.exe
c22=http://219.129.239.88/23.exe
c23=http://219.129.239.88/24.exe
c24=http://219.129.239.88/25.exe
c25=http://219.129.239.88/26.exe
c26=http://219.129.239.88/27.exe

挂上几个江民拦截的帅气

显示全部楼层 · 发表于 2008-4-12 00:41:58

不可以

但是他下载的木马江民都能KILL

显示全部楼层 · 发表于 2008-4-12 06:13:04

Starting the file scan:

Begin scan in 'E:\新建文件夹 (2)\0lz.exe'
E:\新建文件夹 (2)\0lz.exe
   [DETECTION] Is the Trojan horse TR/Dropper.Gen
   [INFO]    The file was deleted!
Begin scan in 'E:\新建文件夹 (2)\0pps.exe'
E:\新建文件夹 (2)\0pps.exe
   [DETECTION] Is the Trojan horse TR/Dropper.Gen
   [INFO]    The file was deleted!
Begin scan in 'E:\新建文件夹 (2)\0rl.exe'
E:\新建文件夹 (2)\0rl.exe
   [DETECTION] Is the Trojan horse TR/Dropper.Gen
   [INFO]    The file was deleted!

[病毒样本] KUGOO有漏洞？！

临时文件夹的发现

回复 5楼 qianwenxiang 的帖子

回复 6楼 garyyan456 的帖子

哈哈，江民主动防御SBIE

本帖子中包含更多资源

回复 7楼 samsinn 的帖子