很成功的数字签名伪造 骗过comodo

mmzz2688

原帖由 dl123100 于 2009-6-5 09:42 发表
R U N D L L . E X E

版本说明是在xp系统下，xp系统下只有rundll32.exe

fatezero

没数字签名...


[ 本帖最后由 fatezero 于 2009-6-5 10:33 编辑 ]

mmzz2688

不排除有木马或病毒把它作为现成的组件加以利用，所以lz的态度是值得大家称赞的，很认真。

deocder

~

250662772

就是系统正常的文件,和我系统文件版本,md5都一样

mmzz2688

原帖由 deocder 于 2009-6-5 09:58 发表
1.XueTr判定rundll32.exe（文件版本：5.1.2600.5512）已经签名。

2.rundll32.exe（文件版本：5.1.2600.5512）哈希值计算结果如下：

1）MD5：A5DD94434C702493D4577E966134B303

2）SHA1：6BFAEB811189C41521 ...

恩，sp3的版本号就是5512，xueTR判断已经签名了吗？那就按照它说的吧，学习了。。。

chiseng

XP   SP2下rundll32.exe  

应该不会错. 是系统原文件

bjkk988

扫描结果 :	3%的杀软(1/38)报告发现病毒
时间 :	2009/06/05 13:14:55 (CST)

软件名称	引擎版本	病毒库版本	病毒库时间	扫描结果	时间
a-squared	4.0.0.32	20090604013225	2009-06-04	-	1.924
AntiVir	8.2.0.180	7.1.4.59	2009-06-04	-	0.224
Arcavir	2009	200906041608	2009-06-04	-	0.037
Authentium	5.1.1	200906041652	2009-06-04	-	1.167
AVAST!	4.7.4	090604-0	2009-06-04	-	0.005
AVG	8.5.286	270.12.53/2155	2009-06-05	-	3.458
BitDefender	7.81008.3337334	7.25812	2009-06-05	-	3.116
CA (VET)	9.0.0.143	31.6.6539	2009-06-05	-	6.053
ClamAV	0.95.1	9421	2009-06-05	-	0.029
Comodo	3.9	1260	2009-06-05	-	0.716
CP Secure	1.1.0.715	2009.06.03	2009-06-03	-	9.952
Dr.Web	4.44.0.9170	2009.06.05	2009-06-05	-	4.690
F-Prot	4.4.4.56	20090604	2009-06-04	-	1.161
F-Secure	5.51.6100	2009.06.05.03	2009-06-05	-	5.775
GData	19.5617/19.353	20090605	2009-06-05	-	4.159
Ikarus	T3.1.01.57	2009.06.03.72814	2009-06-03	-	3.076
Microsoft	1.4701	2009.06.04	2009-06-04	-	4.153
mks_vir	2.01	2009.06.05	2009-06-05	Worm.Tpx	3.130
Norman	6.01.05	6.01.00	2009-06-02	-	4.007
nProtect	20090604.01	4070376	2009-06-04	-	5.410
Quick Heal	10.00	2009.06.05	2009-06-05	-	1.170
Sophos	2.87.1	4.42	2009-06-05	-	2.320
Sunbelt	5170	5170	2009-06-04	-	0.899
The Hacker	6.3.4.3	v00340	2009-06-04	-	0.642
VBA32	3.12.10.6	20090604.1412	2009-06-04	-	1.937
ViRobot	20090604	2009.06.04	2009-06-04	-	0.408
VirusBuster	4.5.11.10	10.107.2/1575686	2009-06-04	-	1.893
卡巴斯基	5.5.10	2009.06.05	2009-06-05	-	0.052
安博士V3	2009.06.05.00	2009.06.05	2009-06-05	-	0.738
安天	2.0.18	20090604.2498051	2009-06-04	-	0.122
江民杀毒	11.0.706	2009.06.03	2009-06-03	-	2.211
熊猫卫士	9.05.01	2009.06.04	2009-06-04	-	1.794
瑞星	20.0	21.32.40.00	2009-06-05	-	0.769
赛门铁克	1.3.0.24	20090604.002	2009-06-04	-	0.052
趋势科技	8.700-1004	6.170.08	2009-06-04	-	0.026
迈克菲	5.3.00	5636	2009-06-04	-	3.011
金山毒霸	2009.2.5.15	2009.6.5.7	2009-06-05	-	0.495
飞塔	2.81-3.117	10.466	2009-06-04	-

webweb

饿。。。。我错了。。。
就像13楼说的 这个文件确实是正常的

不排除有木马或病毒把它作为现成的组件加以利用
所以comodo也提示了
当时已经是晚上12点了 困倦不堪
没有仔细观察和分析 就弄了上来

抱歉。。。

[ 本帖最后由 webweb 于 2009-6-5 14:50 编辑 ]