==============2X过掉主防，囧囧囧大家来测测 =============================

显示全部楼层 · 发表于 2011-2-12 13:23:01

本帖最后由小紫英于 2011-2-12 13:37 编辑

回复 10楼 dm34343667 的帖子

等了一会，发现有启动项的，白文件劫持启动，弹广告
特殊路径躲避实时的查杀，不过不能写启动项，所有用了白文件漏洞做计划任务

但是IE确实没有被调用，你那边的调用不知道是什么情况

18.exe应该是个白文件，没什么特别行为

显示全部楼层 · 发表于 2011-2-12 13:37:53

本帖最后由 dm34343667 于 2011-2-12 13:42 编辑

小紫英发表于 2011-2-12 13:23
回复 10楼 dm34343667 的帖子

等了一会，发现有启动项的，白文件劫持启动，弹广告

哦

明白了
18.exe确实没有调用IE和计划任务

貌似是白文件的

显示全部楼层 · 发表于 2011-2-12 13:45:47

本帖最后由 √×√×√√× 于 2011-2-12 14:13 编辑

囧，我也测了下，这东西会在系统盘的Program Files\Windows Media Player目录下生成一个伪装名字成有道词典的程序，然后开始联网，弹出广告。期间还会弹出一个伪造360安全卫士的消息弹窗。囧囧囧

360安全卫士7.6 BETA版（囧，你没看错，是7.6BETA 不是7.7BETA也不是7.6正式版）弹窗拦截

囧，不过拦截之后依旧有大量的计划任务项被写入，同楼主一样

显示全部楼层 · 发表于 2011-2-12 13:47:00

√×√×√√× 发表于 2011-2-12 13:45
囧，我也测了下，这东西会在系统盘的Program Files\Windows Media Player目录下生成一个伪装名字成有道词典 ...

又见RP防御

我们都没弹窗

显示全部楼层 · 发表于 2011-2-12 13:49:49

dm34343667 发表于 2011-2-12 13:47
又见RP防御

我们都没弹窗

囧，不是RP，是版本不一样。我用7.6BETA版测试的。

显示全部楼层 · 发表于 2011-2-12 13:51:34

√×√×√√× 发表于 2011-2-12 13:49
囧，不是RP，是版本不一样。我用7.6BETA版测试的。

那还怪了 7.7beta 表示鸭梨很大

显示全部楼层 · 发表于 2011-2-12 14:10:34

没报

显示全部楼层 · 发表于 2011-2-12 14:20:25

dm34343667 发表于 2011-2-12 13:51
那还怪了 7.7beta 表示鸭梨很大

看了样本，原因就是如白羊座说的那样，白文件劫持的绕过计划任务拦截，下个版本会增强这块的拦截

已经针对这个样本做处理，目前这个样本（包括免杀版本）都会被拦截，你可以还原虚拟机再试试。

显示全部楼层 · 发表于 2011-2-12 14:28:01

本帖最后由 dm34343667 于 2011-2-12 14:29 编辑

Tron 发表于 2011-2-12 14:20
看了样本，原因就是如白羊座说的那样，白文件劫持的绕过计划任务拦截，下个版本会增强这块的拦截

已经 ...

刚才试了 18那个只是强制安装没别的行为

3Q MJ

显示全部楼层 · 发表于 2011-2-12 14:55:57

会留下个启动项

[讨论] ==============2X过掉主防，囧囧囧大家来测测 =============================

评分

本帖子中包含更多资源

评分

评分

[讨论] ==============2X过掉主防，囧囧囧 大家来测测 =============================

评分

本帖子中包含更多资源

评分

评分

[讨论] ==============2X过掉主防，囧囧囧大家来测测 =============================