收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 带数字签名的熊猫烧香
1 ...101112131415161718下一页
返回列表 发新帖
楼主: ikimi
 收起左侧

[病毒样本] 带数字签名的熊猫烧香

  [复制链接]
wzq9845
发表于 2011-1-28 10:35:51 | 显示全部楼层
回复 100楼 jone_jys 的帖子

可以杀的啊
回复

举报

cc6730
发表于 2011-1-28 22:40:25 | 显示全部楼层
P.S.2   不解的是，未运行样本，样本未在系统扎根，缘何NPE还要重启才能清除，重启前，文件还被锁定了
   这个问题问得好
回复

举报

w867057887
头像被屏蔽
发表于 2011-1-28 22:56:32 | 显示全部楼层
玩玩
回复

举报

wmcxdb
发表于 2011-3-29 14:38:10 | 显示全部楼层
ikimi 发表于 2010-11-20 23:00
终于弄清了如何在未得到私钥的情况下，将所谓的窃取数字证书置于PE文件了

包包里的为熊猫烧香样本，勿运 ...

在网络组就三步结束，并且出现阻止并结束进程，这时若要研究请放入自用程序组。
另外要建立“保护”文件夹，保护重要文件。
特定组以用和鉴别怪异软件为主，不是看怪异程序动作的

2011-3-29 14:30:11    创建文件    阻止
进程: f:\下载\熊猫烧香变种(1)\panda0.exe
目标: C:\windows\system32\bzdhz.ico
规则: [应用程序组]网络应用程序 -> [文件组]文件保护 -> [文件]c:\windows\system32\*

2011-3-29 14:30:11    修改注册表值    阻止
进程: f:\下载\熊猫烧香变种(1)\panda0.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\DefaultIcon
值: C:\windows\system32\bzdhz.ico
规则: [应用程序组]网络应用程序 -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\*file\DefaultIcon

2011-3-29 14:30:11    创建新进程    阻止并结束进程
进程: f:\下载\熊猫烧香变种(1)\panda0.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c F:\下载\熊猫烧香变种(1)\ddel.bat
规则: [应用程序]* -> [子应用程序]c:\windows\*

回复

举报

qianyuqx
头像被屏蔽
发表于 2011-3-29 18:31:14 | 显示全部楼层
kis kill
回复

举报

左手
发表于 2011-3-29 21:24:32 | 显示全部楼层
2011-03-29 21:21:46    创建文件    阻止
进程: h:\program files\avp\panda1.exe
目标: C:\windows\system32\bzdhz.ico
规则: [应用程序组]●cx(禁放程序)pf -> [文件组]文件保护 -> [文件]c:\windows\system32\*

2011-03-29 21:21:46    修改注册表值    阻止
进程: h:\program files\avp\panda1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\DefaultIcon
值: C:\windows\system32\bzdhz.ico
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\*file\DefaultIcon

2011-03-29 21:21:46    修改文件    阻止
进程: h:\program files\avp\panda1.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-03-29 21:21:46    修改文件    阻止
进程: h:\program files\avp\panda1.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-03-29 21:21:46    修改文件    阻止
进程: h:\program files\avp\panda1.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-03-29 21:21:46    修改文件    阻止
进程: h:\program files\avp\panda1.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-03-29 21:21:46    修改注册表值    阻止
进程: h:\program files\avp\panda1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Panda1.exe
值: H:\Program Files\AVP\Panda1.exe
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2011-03-29 21:21:46    修改注册表值    阻止
进程: h:\program files\avp\panda1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe
值: jpegfile
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\.*

2011-03-29 21:21:46    修改注册表值    阻止
进程: h:\program files\avp\panda1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lnk
值: exefile
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\.*

2011-03-29 21:21:46    修改注册表值    阻止
进程: h:\program files\avp\panda1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.txt
值: exefile
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\.*

2011-03-29 21:21:46    修改注册表值    阻止
进程: h:\program files\avp\panda1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.doc
值: exefile
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\.*

2011-03-29 21:21:46    创建文件    阻止
进程: h:\program files\avp\panda1.exe
目标: H:\Program Files\AVP\del.bat
规则: [应用程序组]●cx(禁放程序)pf -> [文件组]文件保护 -> [文件]?:\program files\*

2011-03-29 21:21:46    创建文件    阻止
进程: h:\program files\avp\panda1.exe
目标: H:\Program Files\AVP\ddel.bat
规则: [应用程序组]●cx(禁放程序)pf -> [文件组]文件保护 -> [文件]?:\program files\*

2011-03-29 21:21:46    创建新进程    阻止并结束进程
进程: h:\program files\avp\panda1.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c taskkill /f /im Aver.exe
规则: [应用程序组]●cx(禁放程序)pf -> [子应用程序]●cx(禁放程序)w -> [应用程序]c:\windows\*.exe

2011-03-29 21:21:51    访问网络    阻止
进程: d:\program files\potplayer\potplayermini.exe
目标: UDP [本机 : 4485] ->  [0.0.0.0 : 123 (ntp)]
规则: [应用程序组]本地应用程序 -> [网络]TCP/UDP [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-03-29 21:21:57    创建文件    阻止
进程: h:\program files\avp\panda0.exe
目标: C:\windows\system32\bzdhz.ico
规则: [应用程序组]●cx(禁放程序)pf -> [文件组]文件保护 -> [文件]c:\windows\system32\*

2011-03-29 21:21:57    修改注册表值    阻止
进程: h:\program files\avp\panda0.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\DefaultIcon
值: C:\windows\system32\bzdhz.ico
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\*file\DefaultIcon

2011-03-29 21:21:57    修改文件    阻止
进程: h:\program files\avp\panda0.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-03-29 21:21:57    修改文件    阻止
进程: h:\program files\avp\panda0.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-03-29 21:21:57    修改文件    阻止
进程: h:\program files\avp\panda0.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-03-29 21:21:57    修改文件    阻止
进程: h:\program files\avp\panda0.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-03-29 21:21:57    修改注册表值    阻止
进程: h:\program files\avp\panda0.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Panda0.exe
值: H:\Program Files\AVP\Panda0.exe
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2011-03-29 21:21:57    修改注册表值    阻止
进程: h:\program files\avp\panda0.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe
值: jpegfile
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\.*

2011-03-29 21:21:57    修改注册表值    阻止
进程: h:\program files\avp\panda0.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lnk
值: exefile
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\.*

2011-03-29 21:21:57    修改注册表值    阻止
进程: h:\program files\avp\panda0.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.txt
值: exefile
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\.*

2011-03-29 21:21:57    修改注册表值    阻止
进程: h:\program files\avp\panda0.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.doc
值: exefile
规则: [应用程序组]●cx(禁放程序)pf -> [注册表组]注册表保护 -> [注册表]*\Software\Classes\.*

2011-03-29 21:21:57    创建文件    阻止
进程: h:\program files\avp\panda0.exe
目标: H:\Program Files\AVP\del.bat
规则: [应用程序组]●cx(禁放程序)pf -> [文件组]文件保护 -> [文件]?:\program files\*

2011-03-29 21:21:57    创建文件    阻止
进程: h:\program files\avp\panda0.exe
目标: H:\Program Files\AVP\ddel.bat
规则: [应用程序组]●cx(禁放程序)pf -> [文件组]文件保护 -> [文件]?:\program files\*

2011-03-29 21:21:58    创建新进程    阻止并结束进程
进程: h:\program files\avp\panda0.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c taskkill /f /im Aver.exe
规则: [应用程序组]●cx(禁放程序)pf -> [子应用程序]●cx(禁放程序)w -> [应用程序]c:\windows\*.exe
回复

举报

hddu
发表于 2011-3-29 23:00:09 | 显示全部楼层
2011-03-29 22:59:32    创建文件      操作:使用任务隔离区操作
进程路径:F:\virus\熊猫烧香变种\Panda0.exe
文件路径:C:\windows\system32\bzdhz.ico
触发规则:所有程序规则->WINDOWS文件设置->%windir%\*.ico

2011-03-29 22:59:34    创建注册表值      操作:阻止
进程路径:F:\virus\熊猫烧香变种\Panda0.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:Panda0.exe
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2011-03-29 22:59:34    运行应用程序      操作:允许
进程路径:F:\virus\熊猫烧香变种\Panda0.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c F:\virus\熊猫烧香变种\ddel.bat
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-03-29 22:59:34    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\taskkill.exe
命令行:/f /im explorer.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\taskkill.exe

2011-03-29 22:59:34    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\熊猫烧香变种\ddel.bat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->*\*.bat

2011-03-29 22:59:39    运行应用程序      操作:允许
进程路径:F:\virus\熊猫烧香变种\Panda0.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c taskkill /f /im Aver.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-03-29 22:59:39    运行应用程序      操作:允许
进程路径:F:\virus\熊猫烧香变种\Panda0.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c F:\virus\熊猫烧香变种\del.bat
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-03-29 22:59:40    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\熊猫烧香变种\del.bat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->*\*.bat

2011-03-29 22:59:41    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\taskkill.exe
命令行:/f /im Aver.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\taskkill.exe

2011-03-29 23:00:23    创建文件      操作:使用任务隔离区操作
进程路径:F:\virus\熊猫烧香变种\Panda1.exe
文件路径:C:\windows\system32\bzdhz.ico
触发规则:所有程序规则->WINDOWS文件设置->%windir%\*.ico

2011-03-29 23:00:24    创建注册表值      操作:阻止
进程路径:F:\virus\熊猫烧香变种\Panda1.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:Panda1.exe
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2011-03-29 23:00:24    运行应用程序      操作:允许
进程路径:F:\virus\熊猫烧香变种\Panda1.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c F:\virus\熊猫烧香变种\ddel.bat
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-03-29 23:00:24    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\taskkill.exe
命令行:/f /im explorer.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\taskkill.exe

2011-03-29 23:00:24    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\熊猫烧香变种\ddel.bat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->*\*.bat

2011-03-29 23:00:28    运行应用程序      操作:允许
进程路径:F:\virus\熊猫烧香变种\Panda1.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c taskkill /f /im Aver.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-03-29 23:00:28    运行应用程序      操作:允许
进程路径:F:\virus\熊猫烧香变种\Panda1.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c F:\virus\熊猫烧香变种\del.bat
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-03-29 23:00:28    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\熊猫烧香变种\del.bat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->*\*.bat

2011-03-29 23:00:29    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\taskkill.exe
命令行:/f /im Aver.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\taskkill.exe

回复

举报

lwy4652
发表于 2011-3-30 19:30:47 | 显示全部楼层
不能说是 带数字签名的  签名 无效
回复

举报

hp19920215
发表于 2011-3-30 19:52:55 | 显示全部楼层
解压后立马被NOD32杀了。。
回复

举报

sunyman
发表于 2011-3-30 20:05:37 | 显示全部楼层
我看看去
回复

举报

下一页 »
1 ...101112131415161718下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-1-10 21:27 , Processed in 0.100086 second(s), 15 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表