请人帮忙行为分析一个木马

显示全部楼层 · 发表于 2009-1-1 14:55:35

一般灰鸽子类的病毒会释放一个exe文件到windows目录下,然后安装服务,然后会启动iexplore进程并修改其内存联网.这样开机启动这个exe要重复启动,并且重复修改内存的方式

这个样本的病毒属于dll型的木马,通过安装服务直接化身为svchost.exe进程.hips(AD)只拦截到它一个安装服务的动作,并未出现通常的启动svchost 修改内存行为.
请问:为何安装服务后,这个病毒不启动svchost 不修改svchost内存就可以表现为svchost进程重启后没有exe程序重复启动
这样不但可以突破防火墙还极大增加了手动查杀的难度
这是我遇到的比较迷惑的木马

[ 本帖最后由 snjj1118 于 2009-1-1 14:57 编辑 ]

显示全部楼层 · 发表于 2009-1-1 14:56:46

通过SCM实现

显示全部楼层 · 发表于 2009-1-1 15:01:49

看完，发现有人回答了..

飘过

[ 本帖最后由 aarwwefdds 于 2009-1-1 15:02 编辑 ]

显示全部楼层 · 发表于 2009-1-1 15:04:19

瑞星2009直接灭掉

显示全部楼层 · 发表于 2009-1-1 15:08:21

调用services.exe注册服务

显示全部楼层 · 发表于 2009-1-1 15:08:55

再回复一次

看看扫描党

显示全部楼层 · 发表于 2009-1-1 15:11:59

大小姐可真乐意灌水

显示全部楼层 · 发表于 2009-1-1 15:21:51

svchost本身就是服务宿主，貌似SCM启动后递归services下所有子项的win32服务，如果是dll的会将装载控制权交给svchost

显示全部楼层 · 发表于 2009-1-1 15:36:38

这个应该是你想要的
http://www.cz88.net/ip/viewip468_25.aspx

显示全部楼层 · 发表于 2009-1-1 16:00:06

楼上的网址带毒吗？
勿点击进去了

[病毒样本] 请人帮忙行为分析一个木马

本帖子中包含更多资源

本帖子中包含更多资源

回复 6楼九尾野狐的帖子

本帖子中包含更多资源

[病毒样本] 请人帮忙行为分析一个木马

本帖子中包含更多资源

本帖子中包含更多资源

回复 6楼 九尾野狐 的帖子

本帖子中包含更多资源

回复 6楼九尾野狐的帖子