IRCBOT 1个

ximo

1个很不错的样本，重点信息隐藏的很深。要不是看图标可疑，恐怕大部分分析师都会放过它。
有兴趣的可以测试下，主要测试如下几点：
1、看你杀软是否报
2、报的是否准确，经我分析，是个IRCBOT
3、能否提取出这个样本的关键文件

说明几点：
1、最关键的信息不会释放到某个地方，而是在内存中的。看谁能把他给提取出来。
2、如果只是看行为的，很难看出其中的奥妙处，因为，该样本的行为上和普通的木马没什么特别的，很容易忽视。
3、如果是手动分析的，请仔细分析下，个人感觉，应该是我近期分析的样本中的最有意思的样本了。

所以发出来给大家玩玩。

顺带再说一下：样本行为如何，破坏程度如何，杀伤力如何，个人觉得都是次要的了，但该样本所使用的方法，我觉得比大部分木马要高的多。。。

[ 本帖最后由 ximo 于 2009-4-16 19:08 编辑 ]

Palkia

金山 -

Sebastian

TR/Buzus.avdz

江湖的fans

TO  RISING

无尽藏海

Virus: BehavesLike:Win32.ProcessHijack (Engine A)

Virus found while downloading Web content.

Address: bbs.kafan.cn

ximo

原帖由 J-F-F 于 2009-4-16 18:58 发表
确实没发现什么特别之处。。。

两种可能：
1、你技术太高，对这样的样本已经见怪不怪了
2、你还没仔细分析，还没分析到关键地方

关键部分的提取还是要动点脑筋的，不然是抓取不到得。提示下，重点信息加的是UPX，而原样本和运行后释放的样本都是无壳的。

本人技术太菜，而且学习病毒分析也就2月而已，所以觉得比较好玩的。一个ring3下的程序，写成这样，个人觉得已经很不错了。

yeow5243

a2 报

sharkkong

Kaspersky
Internet Security 2010 Beta
Access denied
The requested URL could not be retrieved

While trying to retrieve the URL:

http://bbs.kafan.cn/attachment.php?aid=
514500&k=92a79eeb08195ec9deda4db2318fac8
b&t=1239883707

The following threat was encountered:

The requested object is INFECTED with the following viruses: HEUR:Trojan.Win32.Generic


Please contact your service provider if you consider it incorrect.
Generated:
2009-4-16 20:09:48
Kaspersky Internet Security 2010 Beta

The EQs

我用图标查杀法查到是个IRCBot

BING126

to McAfee