囧~最新免杀的QQ木马后门样本~囧囧

囧神

囧~最新的QQ免杀木马，啊啦QQ潜伏者的后门~号称可以过卡巴和瑞星的主动（囧，我又错了，看来这个样本不是闹着玩的，星星2010的主动被过了~.......）囧

实地测试免杀毒霸极速版和贝壳~（囧，贝壳依旧只提示个1个未知文件~）

在线扫描16%的杀软(6/37)报告发现病毒，（国产基本全被过了，囧~另外对守护使另眼相看了~囧）
在线扫描结果：
VirSCAN.org Scanned Report :
Scanned time   : 2009/10/09 12:26:18 (CST)
Scanner results: 16%的杀软(6/37)报告发现病毒
File Name      : alQQmmqfzV3.0.rar
File Size      : 601044 byte
File Type      : RAR archive data, v1d, os
MD5            : aefbda87455b8877cfe38164215242b5
SHA1           : 96d38625ef18e8cef5946143e1b9dcdfbedf2be7
Online report  : http://virscan.org/report/1a7f3fbe250fa25f8d64bf5ab8a638d1.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.8         20091009113231    2009-10-09  4.71   -
安博士V3       2009.10.09.00   2009.10.09        2009-10-09  1.16   -
AntiVir        8.2.1.35        7.1.6.90          2009-10-08  0.27   TR/Dropper.Gen
安天           2.0.18          20091008.2980424  2009-10-08  0.28   -
Arcavir        2009            200910071802      2009-10-07  0.01   -
Authentium     5.1.1           200910082208      2009-10-08  1.32   -
AVAST!         4.7.4           091008-0          2009-10-08  0.00   -
AVG            8.5.288         270.14.8/2423     2009-10-09  3.50   -
BitDefender    7.81008.4325098 7.28182           2009-10-09  5.17   -
CA (VET)       9.0.0.143       35.1.7057         2009-10-09  5.58   -
ClamAV         0.95.2          9875              2009-10-09  0.44   W32.Zloyfly
Comodo         3.12            2543              2009-10-09  0.93   -
CP Secure      1.3.0.5         2009.10.09        2009-10-09  0.15   -
Dr.Web         4.44.0.9170     2009.10.09        2009-10-09  7.35   Trojan.PWS.Pedas
F-Prot         4.4.4.56        20091008          2009-10-08  1.75   -
F-Secure       7.02.73807      2009.10.08.12     2009-10-08  10.57  -
飞塔           2.81-3.120      10.920            2009-10-08  0.31   -
GData          19.8300/19.504  20091009          2009-10-09  8.11   -
ViRobot        20091008        2009.10.08        2009-10-08  0.62   -
Ikarus         T3.1.01.72      2009.10.09.74011  2009-10-09  6.79   Trojan-Spy.Win32.FlyStudio
江民杀毒       11.0.800        2009.10.08        2009-10-08  4.20   -
卡巴斯基       5.5.10          2009.10.09        2009-10-09  0.69   -
金山毒霸       2009.2.5.15     2009.10.9.7       2009-10-09  0.68   -
迈克菲         5.3.00          5765              2009-10-08  4.10   -
Microsoft      1.5101          2009.10.08        2009-10-08  6.37   -
Norman         6.01.09         6.01.00           2009-10-08  4.03   -
熊猫卫士       9.05.01         2009.10.08        2009-10-08  2.05   -
趋势科技       8.700-1004      6.519.00          2009-10-07  0.20   -
Quick Heal     10.00           2009.10.09        2009-10-09  1.62   -
瑞星           20.0            21.50.40.00       2009-10-09  0.59   -
Sophos         2.90.1          4.45              2009-10-09  4.65   Mal/Generic-A
Sunbelt        5437            5437              2009-10-08  3.24   -
赛门铁克       1.3.0.24        20091008.003      2009-10-08  0.92   -
nProtect       20091008.02     5754855           2009-10-08  11.03  -
The Hacker     6.5.0.2         v00033            2009-10-07  1.33   -
VBA32          3.12.10.11      20091007.1940     2009-10-07  5.37   -
VirusBuster    4.5.11.10       10.112.62/2570460 2009-10-08  2.91   Backdoor.FlyAgent.BKG



以下是病毒行为：（有心人看完吧，一点一点打上去的，累死了~囧）

创建文件：
C:\阿拉QQ密码潜伏者V3.0.txt
C:\WINDOWS\system32\Thunder.exe
C:\WINDOWS\system32\Thunder.dll
(囧~上面两个假造迅雷~）
C:\WINDOWS\Fonts\eb1b65606cdb0aaf20ce7096eb5c9395.dat
C:\Documents and Settings\Administrator\Local Settings\Temp\E_4\krnln.fnr
C:\Documents and Settings\Administrator\Local Settings\Temp\E_4\Exmlrpc.fne
C:\Documents and Settings\Administrator\Local Settings\Temp\E_4\dp1.fne
C:\Documents and Settings\Administrator\Local Settings\Temp\BClib\krnln.fnr
C:\Documents and Settings\Administrator\Local Settings\Temp\BClib\krnln.fne
C:\Documents and Settings\Administrator\Local Settings\Temp\BClib\Exmlrpc.fne
C:\Documents and Settings\Administrator\Local Settings\Temp\BClib\dp1.fne
C:\Documents and Settings\Administrator\Local Settings\Temp\_eviip.tmp


创建服务：
打开SCManager
创建LanmanWorkstation （远程服务客户端网络连接）
打开Thunder迅雷补丁（囧。。。模仿到底啊）
安装Thunder迅雷补丁
打开AudioSrv（囧~又去模仿音频设备了~）


运用COM对象：
{A5E46E3A-8849-11D1-9D8C-00C04FC99D61} （Microsoft Browser Architecture）
{9BA05972-F6A8-11CF-A442-00A0C90A8F39} （ShellWindows）
{7EB5FBE4-2100-49E6-8593-17E130122F91} （退出任务）
{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4} （Security Manager）
{750FDF0E-2A26-11D1-A3EA-080036587F03} （Offline Files Menu）
{5B4DAE26-B807-11D0-9815-00C04FD91972} （菜单栏）
{42AEDC87-2188-41FD-B9A3-0C966FEABEC1} （MruPidlList）
{0E5CBF21-D15F-11D0-8301-00AA005B4383} （连接）
{01E04581-4EEE-11D0-BFE9-00AA005B4383} （地址）
{00020420-0000-0000-C000-000000000046} （PSDispatch）
{00000339-0000-0000-C000-000000000046}
{0000032A-0000-0000-C000-000000000046}
{00000000-0000-0000-0000-000000000000}


加载DLL：
除了启动程序必备的系统DLL外~
C:\dusvvbhj.bat
C:\Documents and Settings\Administrator\Local Settings\Temp\BClib\krnln.fne
C:\Documents and Settings\Administrator\Local Settings\Temp\E_4\dp1.fne
C:\Documents and Settings\Administrator\Local Settings\Temp\BClib\krnln.fne
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\MUI\0804\BROWSELC.DLL
C:\阿拉QQ密码潜伏者V3.0[vip].exe


创建进程：
C:\Program Files\Internet Explorer\iexplore.exe（可怜的小E又被注入了~）
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\notepad.exe（这个很猥琐~囧）
C:\WINDOWS\system32\Thunder.exe（假冒的迅雷~）
C:\阿拉QQ密码潜伏者V3.0[vip].exe（样本本身）


修改注册表项：
HKCU\Software\FlySky
HKCU\Software\FlySky\E
HKCU\Software\FlySky\E\Install
HKCU\Software\FlySky\E\Install\\Path
HKCU\Software\Microsoft\Internet Explorer\Main\\Check_Associations
HKCU\Software\Microsoft\Internet Explorer\Main\\Window_Placement
HKCU\Software\Microsoft\Internet Explorer\Toolbar\\Locked （IE插件？）
HKCU\Software\Microsoft\Multimedia\DrawDib
HKCU\Software\Microsoft\Multimedia\DrawDib\\vga.drv 800x600x32(BGR 0)
HKCU\Software\Microsoft\Notepad\\fMLE_is_broken
HKCU\Software\Microsoft\Notepad\\fSaveWindowPositions
HKCU\Software\Microsoft\Notepad\\fWrap
HKCU\Software\Microsoft\Notepad\\iMarginBottom
HKCU\Software\Microsoft\Notepad\\iMarginLeft
HKCU\Software\Microsoft\Notepad\\iMarginRight
HKCU\Software\Microsoft\Notepad\\iMarginTop           ｛这部分开始对记事本下手了~囧｝
HKCU\Software\Microsoft\Notepad\\iPointSize
HKCU\Software\Microsoft\Notepad\\iWindowPosDX
HKCU\Software\Microsoft\Notepad\\iWindowPosDY
HKCU\Software\Microsoft\Notepad\\iWindowPosY
HKCU\Software\Microsoft\Notepad\\lfCharSetHKCU\Software\Microsoft\Notepad\\lfClipPrecision
HKCU\Software\Microsoft\Notepad\\lfEscapement
HKCU\Software\Microsoft\Notepad\\lfFaceName
HKCU\Software\Microsoft\Notepad\\lfItalic
HKCU\Software\Microsoft\Notepad\\lfOrientation
HKCU\Software\Microsoft\Notepad\\lfOutPrecision
HKCU\Software\Microsoft\Notepad\\lfPitchAndFamily
HKCU\Software\Microsoft\Notepad\\lfQuality
HKCU\Software\Microsoft\Notepad\\lfStrikeOut
HKCU\Software\Microsoft\Notepad\\lfUnderline
HKCU\Software\Microsoft\Notepad\\lfWeight
HKCU\Software\Microsoft\Notepad\\StatusBar
HKCU\Software\Microsoft\Notepad\\szHeader
HKCU\Software\Microsoft\Notepad\\szTrailer （囧~记事本部分终于结束了，累死了~囧）
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9680dff0-a5b8-11de-a2c8-080027b65ec7}\\BaseClass
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{eaadfb90-a59d-11de-b6aa-806d6172696f}\\BaseClass
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{eaadfb91-a59d-11de-b6aa-806d6172696f}\\BaseClass
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\Z\\BaseClass
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\AppData
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Cache
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Cookies
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Desktop
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Favorites
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Fonts
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\History
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Personal
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\\IntranetName
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\\ProxyBypass
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\\UNCAsIntranet
HKCU\Software\Microsoft\Windows\ShellNoRoam\BagMRU\\MRUListEx
HKCU\Software\Microsoft\Windows\ShellNoRoam\BagMRU\\NodeSlots
HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache\\c:\阿拉QQ密码潜伏者V3.0[vip].exe（病毒本体出现~囧囧）
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Common Desktop
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\\Directory
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\\Paths
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path1\\CachePath
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path2\\CachePath
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path3\\CachePath
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path4\\CachePath

重点键值在下面：
HKLM\SOFTWARE\rising（囧~这个还不认识？~）
HKLM\SOFTWARE\rising\KaKa
HKLM\SOFTWARE\rising\KaKa\\procrun
HKLM\SYSTEM\CurrentControlSet\Control\MediaResources\msvideo
HKLM\System\CurrentControlSet\Services\Thunder迅雷补丁\\Description
HKLM\SYSTEM\CurrentControlSet\Services\Thunder迅雷补丁\Parameters
HKLM\System\CurrentControlSet\Services\Thunder迅雷补丁\Parameters\\Application


网络连接：
出站TCP访问
远程端口：19820
本地端口：1133
远程IP地址：119.127.251.70（广东省东莞市电信~囧）




囧~卡饭太小气了。。。我这个样本才刚过500K。。。。就是眼看着上传不了附件~
想测试的，直接到下面
样本：
http://www.saiteng-cn.com/gb/xz/alQQmmqfzV3.0.rar下载（囧~hide代码也不让用。。。我囧了，让样本这么公开好么~）

[ 本帖最后由 囧神 于 2009-10-9 14:13 编辑 ]

z2665

囧~传说中的秒杀？
http://camas.comodo.com/cgi-bin/submit?file=48c7e367016f2b0680a85dd0a72d99142256c0f4eba5c00a27d1b4357cc5f806
lz的步骤整么得到的？

[ 本帖最后由 z2665 于 2009-10-9 13:50 编辑 ]

hddu

2009-10-09 13:53:55    创建文件      操作:允许
进程路径:E:\alQQmmqfzV3.0\阿拉QQ密码潜伏者V3.0【vip免杀版】.exe
文件路径:C:\阿拉QQ密码潜伏者V3.0.txt
触发规则:所有程序规则->全局设置->%SystemDrive%\*

2009-10-09 13:53:57    创建文件      操作:允许
进程路径:E:\alQQmmqfzV3.0\阿拉QQ密码潜伏者V3.0【vip免杀版】.exe
文件路径:C:\阿拉QQ密码潜伏者V3.0[vip].exe
触发规则:所有程序规则->全局设置->%SystemDrive%\*

2009-10-09 13:53:58    运行应用程序      操作:阻止
进程路径:E:\alQQmmqfzV3.0\阿拉QQ密码潜伏者V3.0【vip免杀版】.exe
文件路径:C:\WINDOWS\system32\notepad.exe
命令行:c:\阿拉QQ密码潜伏者V3.0.txt
触发规则:所有程序规则->系统程序设置->%windir%\system32\notepad.exe

2009-10-09 13:54:07    创建文件      操作:阻止
进程路径:C:\阿拉QQ密码潜伏者V3.0[vip].exe
文件路径:C:\WINDOWS\system32\Thunder.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-10-09 13:54:11    创建文件      操作:阻止
进程路径:C:\阿拉QQ密码潜伏者V3.0[vip].exe
文件路径:C:\dusvvbhj.bat
触发规则:所有程序规则->全局设置->%SystemDrive%\*

[ 本帖最后由 hddu 于 2009-10-9 13:55 编辑 ]

囧神

原帖由 z2665 于 2009-10-9 13:47 发表
囧~传说中的秒杀？
http://camas.comodo.com/cgi-bin/submit?file=48c7e367016f2b0680a85dd0a72d99142256c0f4eba5c00a27d1b4357cc5f806
lz的步骤整么得到的？

囧~怎么得到的。。。 逆向分析啊~囧囧囧

z2665

好有毅力哦，佩服啊

zhaokang0564

TO AVG

囧神

原帖由 z2665 于 2009-10-9 13:53 发表
好有毅力哦，佩服啊

从中午12点开始忙这个东西。。。。午饭还没吃~囧囧囧

mappletree

过瑞星2010主防
仅文件监控有反应

囧神

原帖由 mappletree 于 2009-10-9 14:07 发表
过瑞星2010主防
仅文件监控有反应639565639566

囧~看来这个样本不是闹着玩的啊。。。真的过了~2010的主防不好过啊~

ryota

阿拉被咔