过卡8交互模式

显示全部楼层 · 发表于 2008-11-2 11:34:54

样本是一个 500 x 的大包中的

卡8交互模式下无反应，在临时文件夹生成一些文件，部分生成物卡8能检测到，在 spoolsv.exe 下加载 dll.dll （路径显示在system32文件夹下，但无实体文件）
通过spoolsv.exe 在各分区下创建 autorun.inf （卡8能检测到，在被删除后不断被重建）

用卡8的可以测试下。

HIPS 的来运行一下，看看具体动作。

显示全部楼层 · 发表于 2008-11-2 11:38:45

浪滔天不错啊~~继续找找~~

TO Russia Team~

显示全部楼层 · 发表于 2008-11-2 11:41:00

红伞报

显示全部楼层 · 发表于 2008-11-2 11:41:20

你先测试下，我用的是505测试版本。

显示全部楼层 · 发表于 2008-11-2 11:41:20

小a杀Win32:Fabot [Trj]

显示全部楼层 · 发表于 2008-11-2 11:43:50

[ 本帖最后由 star_xing 于 2008-11-2 11:46 编辑 ]

显示全部楼层 · 发表于 2008-11-2 11:45:11

印象当中是不是小白鼠就是骆驼祥子包里面的

显示全部楼层 · 发表于 2008-11-2 11:49:01

可能是，一大堆样本慢慢运行着测试，都分不清是谁的了

显示全部楼层 · 发表于 2008-11-2 11:51:15

这个样本~~

我不说什么了~~自动模式过~
交互模式，我没测试

不过早在7月我承包立体防御测试的时候，这个就拦不了~~因为这个更偏向于广告类

显示全部楼层 · 发表于 2008-11-2 11:59:32

原帖由 syfwxmh 于 2008-11-2 11:51 发表
这个样本~~

我不说什么了~~自动模式过~
交互模式，我没测试

不过早在7月我承包立体防御测试的时候，这个就拦不了~~因为这个更偏向于广告类

7月的怎么现在还没入库？

但部分生成物卡巴报的不是广告

2008-11-02 11:36:27 C:\Documents and Settings\GWH\Local Settings\Temp\tmp8.tmp Spooler SubSystem App 已检测到: Trojan-Downloader.Win32.Agent.ahcg
2008-11-02 11:34:52 I:\autorun.inf Spooler SubSystem App 已检测到: Worm.Win32.AutoRun.rsg

[病毒样本] 过卡8交互模式

本帖子中包含更多资源

评分

本帖子中包含更多资源

回复 2楼 syfwxmh 的帖子

本帖子中包含更多资源

回复 7楼 EQ2 的帖子

回复 4楼浪滔天的帖子

[病毒样本] 过卡8交互模式

本帖子中包含更多资源

评分

本帖子中包含更多资源

回复 2楼 syfwxmh 的帖子

本帖子中包含更多资源

回复 7楼 EQ2 的帖子

回复 4楼 浪滔天 的帖子

回复 4楼浪滔天的帖子