愤怒天使样本

liulangzhecgr

hddu 发表于 2011-4-6 15:48
感染没有，登陆密码被改了，无法登陆。

登陆密码?! 啥意思?!

hddu

liulangzhecgr 发表于 2011-4-6 15:53
登陆密码?! 啥意思?!

登陆系统的密码。

liulangzhecgr

hddu 发表于 2011-4-6 16:50
登陆系统的密码。

不烦吗?!每次都要输入...

hddu

liulangzhecgr 发表于 2011-4-6 17:04
不烦吗?!每次都要输入...

无码登陆成了有码登陆，确实烦。

hddu

再测试，有exe文件被感染了。金山卫士扫描结果已录像，
不知属不属感染，求意见。

Hacker29cn

下载不报，解压就KILL了

ESET KILL

liulangzhecgr

回复 45楼 hddu 的帖子

用沙盘啦! 我测试此样本时,没有跑出沙盘!倒沙后快照对比看一看...一防万一!

sunyman

回复 8楼 ppy0606 的帖子

弱弱的问一下，这是hips的日志吗？

wmcxdb

2011-4-6 22:50:49    创建新进程    阻止
进程: f:\下载\bi mat\bi mat\bi mat.exe
目标: f:\下载\bi mat\bi mat\bi mat.exe
命令行: "F:\下载\Bi mat\Bi mat\Bi mat.exe"
规则: [应用程序]*

2011-4-6 22:50:49    创建文件    阻止
进程: f:\下载\bi mat\bi mat\bi mat.exe
目标: C:\WINDOWS\system32\Serverx.exe
规则: [文件组]文件保护 -> [文件]c:\windows\system32\*

2011-4-6 22:50:49    修改注册表值    阻止
进程: f:\下载\bi mat\bi mat\bi mat.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Serverx
值: C:\WINDOWS\system32\Serverx.exe
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2011-4-6 22:50:49    修改其他进程的内存    阻止
进程: f:\下载\bi mat\bi mat\bi mat.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2011-4-6 22:50:50    读文件夹    阻止并结束进程
进程: f:\下载\bi mat\bi mat\bi mat.exe
目标: C:\0\0

hddu

liulangzhecgr 发表于 2011-4-6 19:43
回复 45楼 hddu 的帖子

用沙盘啦! 我测试此样本时,没有跑出沙盘!倒沙后快照对比看一看...一防万一!

不喜爱沙盘，规则里有隔离区设置，EQSandBox是EQ隔离区文件夹，经测试仅是隔离区里的文件被感染，非隔离区的基本没有被感染，运行一切正常。