好强的一只--热烈欢迎HIPS进帖测试~~~~

显示全部楼层 · 发表于 2011-5-20 20:05:47

本帖最后由小飞侠.net 于 2011-5-21 05:42 编辑

文件名: wg.exe
文件大小: 818769 字节 (799.58 KB)
修改日期: 2011-05-06 15:19
MD5: f826c14d6c5b4c979ea9116cfc753d64
SHA1: d766ac976c8e46d55fbb3d6cc0ba4ba345c628aa
SHA256: 1c94e9bbc7963a90017e582d1e86f6ceba0d7b88ec2a73c3ad79f0eef3698576
CRC32: 145782c9

样本来源：附在样本包内，请有需要做小白的自行下载，不要在存放重要数据、局域网内运行！

数字安全卫士不开木马防火墙（所有防护功能全禁用），运行样本后，通知区域的360安全卫士在开启自我保护的前提下又死了~~提醒：
请在虚拟机中测试，不报的请上报，这只有点老了~~另这只在沙箱3.54我看下并无生成驱动文件，换在虚拟机中运行后蓝屏一次。

其后金山急救箱同样和上图也一样不能正常运行~~~悲剧阿~~~换数字急救箱5.0也不行，经测试屏蔽部分和安全有关正常运行，实际为.exe（安全软件不能正常运行）改为.com，ok~~~~~重启想进入安全模式，谁知时间机器启动还原功能~~完了，再次提醒请在虚拟机中体验，我尝试修改扩展名后.com后，5.0的数字急救箱自行修复也不能正常运行~~金山急救箱修改文件名，虽然能用，但不能开始扫描。。。。

送他进在线沙箱玩玩~~~：这只还有映像劫持~~~
在线沙箱网站分析报告：
ht~tp://www.threatexpert.com/report.aspx?md5=f826c14d6c5b4c979ea9116cfc753d64
运行后主要摘要

显示全部楼层 · 发表于 2011-5-20 20:07:03

norton kill

显示全部楼层 · 发表于 2011-5-20 20:13:08

bitdefender kill

显示全部楼层 · 发表于 2011-5-20 20:14:36

红伞KILL

显示全部楼层 · 发表于 2011-5-20 20:18:01

本帖最后由 hx1997 于 2011-5-20 20:18 编辑

貌似扫描区的样本里出现过...?

网页未处理，邮件上报ESET看下~

显示全部楼层 · 发表于 2011-5-20 20:21:10

COMODO Kill

显示全部楼层 · 发表于 2011-5-20 20:22:56

360sd没kill...

显示全部楼层 · 发表于 2011-5-20 20:24:31

sophos kill

显示全部楼层 · 发表于 2011-5-20 20:25:11

2011-5-20 20:21:01 G:\Sandbox\HX\Virus\drive\C\3.exe create process C:\Program Files\Sandboxie\SandboxieCrypto.exe allowed 0.Samples Testing Mode
2011-5-20 20:20:55 G:\windows\System32\SERVICES.EXE nt load driver \SystemRoot\System32\Drivers\HTTP.sys blocked 0.Samples Testing Mode
2011-5-20 20:20:28 G:\Sandbox\HX\Virus\drive\C\3.exe create process C:\Program Files\Sandboxie\SandboxieCrypto.exe allowed 0.Samples Testing Mode
2011-5-20 20:20:20 G:\windows\System32\SERVICES.EXE nt load driver \SystemRoot\System32\Drivers\HTTP.sys blocked 0.Samples Testing Mode
2011-5-20 20:19:51 G:\Sandbox\HX\Virus\drive\C\3.exe set windows hook ex blocked 0.Samples Testing Mode
2011-5-20 20:19:25 G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\b\wg.exe create process G:\Sandbox\HX\Virus\drive\C\3.exe allowed 0.Samples Testing Mode
2011-5-20 20:19:16 G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\b\wg.exe create process G:\Sandbox\HX\Virus\drive\C\1.exe allowed 0.Samples Testing Mode

显示全部楼层 · 发表于 2011-5-20 20:27:36

2011-5-20 20:24:13 修改文件允许
进程: d:\我的文档\virus test\001115\b\wg.exe
目标: C:\Documents and Settings\9eyes.PPY\Local Settings\Temp\E_4\krnln.fnr
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\001115\b\wg.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-5-20 20:24:15 修改文件允许
进程: d:\我的文档\virus test\001115\b\wg.exe
目标: C:\1.exe
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\001115\b\wg.exe -> [文件]c:\

2011-5-20 20:24:16 修改注册表值阻止并结束进程
进程: c:\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RunmeAtStartup
值: c:\1.exe
规则: [应用程序]* -> [注册表组]阻止结束

2011-5-20 20:24:17 修改文件允许
进程: d:\我的文档\virus test\001115\b\wg.exe
目标: C:\3.exe
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\001115\b\wg.exe -> [文件]c:\

2011-5-20 20:24:17 创建文件阻止
进程: c:\3.exe
目标: C:\Documents and Settings\Infotmp.txt
规则: [文件]*

2011-5-20 20:24:17 读文件阻止并结束进程
进程: c:\3.exe
目标: C:\3.exe
规则: [文件组]全阻止结束 -> [文件]?:\; *.exe

[病毒样本] 好强的一只--热烈欢迎HIPS进帖测试~~~~