过360安全卫士8.1------------远控

baibao578

网盾报未知，不过360杀毒v2.0.1.2055 尝鲜版（红伞报），过360杀毒正式版，过360卫士8.1.0.1001；运行后虚拟机被远控。
在下的粗浅分析：
用ComodoFW过了一下，貌似不加驱，依靠两个没有任何自保方式的文件进行远控。复活的方式是在E盘建立setup.exe开机自启动。

很粗浅，高手无视就好。

saga3721

“TR/Spy.FlyStudio.B [trojan]”

a256886572008

360 云主防 被穿破了

附上生成物。

a256886572008

CAV 杀

2011-06-02 13:58:52   C:\Documents and Settings\Roger\桌面\VIRUS\更新\更新.exe   TrojWare.Win32.TrojanDropper.Agent.~JJB@91245442

---------------------------------------------------------------------------------

http://camas.comodo.com/cgi-bin/submit?file=fde28d3a3f8c97799079bdde6b6ddd3668fe0b1a6c9d61a51b9b226827ffe71d

Auto Analysis Verdict
Suspicious++

Suspicious Actions Detected
Copies self to other locations
Creates files in program files directory
Creates system services or drivers
Deletes self
Injects code into other processes

--------------------------------------------------------------------
双击运行

2011-06-02 14:02:11   C:\Documents and Settings\Roger\桌面\VIRUS\更新\更新.exe   Sandboxed As   Partially Limited   

2011-06-02 14:02:18   C:\Documents and Settings\Roger\桌面\VIRUS\更新\更新.exe   Modify File   C:\Program Files\Drrionzir.exe   

2011-06-02 14:02:20   C:\Program Files\Drrionzir.exe   Sandboxed As   Partially Limited   

2011-06-02 14:02:24   C:\WINDOWS\system32\cmd.exe   Modify File   C:\Documents and Settings\Roger\桌面\VIRUS\更新\更新.exe   

2011-06-02 14:02:27   C:\Program Files\Internet Explorer\IEXPLORE.EXE   Sandboxed As   Partially Limited   

2011-06-02 14:02:36   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\S-1-5-21-1214440339-1682526488-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable   

2011-06-02 14:02:36   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\S-1-5-21-1214440339-1682526488-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer   

2011-06-02 14:02:36   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\S-1-5-21-1214440339-1682526488-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\SecuritySafe   

2011-06-02 14:02:36   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\Software\Classes\CLSID\{E19F9331-3110-11D4-991C-005004D3B3DB}\InprocServer32   

2011-06-02 14:02:36   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\Software\Classes\CLSID\{CAFEEFAC-0013-0001-0008-ABCDEFFEDCBA}\InprocServer32   

2011-06-02 14:02:36   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\Software\Classes\CLSID\{CAFEEFAC-0013-0001-0016-ABCDEFFEDCBA}\InprocServer32   

2011-06-02 14:02:36   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\Software\Classes\CLSID\{CAFEEFAC-0013-0001-0025-ABCDEFFEDCBA}\InprocServer32   

2011-06-02 14:02:42   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\Software\Classes\CLSID\{CAFEEFAC-0014-0002-0000-ABCDEFFEDCBB}\InprocServer32   

2011-06-02 14:02:42   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\Software\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBC}\InprocServer32   

2011-06-02 14:02:42   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\Software\Classes\CLSID\{CAFEEFAC-0016-0000-0010-ABCDEFFEDCBC}\InprocServer32\ThreadingModel   

2011-06-02 14:02:42   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKUS\S-1-5-21-1214440339-1682526488-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup   

2011-06-02 14:02:42   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKLM\SYSTEM\ControlSet001\Services\Drnssneoi   

2011-06-02 14:02:53   C:\Program Files\Internet Explorer\iexplore.exe   Modify Key   HKLM\SYSTEM\ControlSet001\Control\Session Manager\PendingFileRenameOperations   

2011-06-02 14:02:53   C:\Program Files\Internet Explorer\iexplore.exe   Direct Disk Access   PhysicalDrive0   

-------------------------------------
不知道这只会不会  直接写磁盘？

看了一下，都是IE在做坏事，是因为调用IE才穿破360云主防吗？

yzm763529

小A杀了

jefffire

a256886572008 发表于 2011-6-2 14:02
CAV 杀

2011-06-02 13:58:52   C:\Documents and Settings\Roger\桌面\VIRUS\更新\更新.exe   TrojWare. ...

测试comodo杀软最好，先不要上传CIMA。因为CIMA发现的病毒会自动入库。

怡宝

saga3721 发表于 2011-6-2 13:52
“TR/Spy.FlyStudio.B [trojan]”

微点主防1.2   2009年安装程序、特征库，未升级    KILL

a256886572008

jefffire 发表于 2011-6-2 14:09
测试comodo杀软最好，先不要上传CIMA。因为CIMA发现的病毒会自动入库。

CIMA 和 CAV 分开的，入库的等待期太长了。

我的文章：
CAV杀----------------->真的是杀软本地库(我特别关闭启发)。

comodo云查杀------>这个才是上传CIMA後才查杀。

jayavira

to eset

http://samples.nod32.com.hk/inde ... 4939839b1a3e25fc0ee

生成物

leisong

现在网盾已经报了