瑞星卡卡安全论坛

解密了一个网马,
得到如下木马地址:
http://user1.1a2b3c0.net/bak.css
伪装成CSS了,留个高手分析吧,我继续抓马,呵呵.

哪位大鸟分析完,记得给我发份分析报告.
我的邮箱: 7668765@qq.com

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; TencentTraveler ; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) )

引用:

【天星哥哥的贴子】解密了一个网马, 得到如下木马地址: http://user1.1a2b3c0.net/bak.css 伪装成CSS了,留个高手分析吧,我继续抓马,呵呵. 哪位大鸟分析完,记得给我发份分析报告. 我的邮箱: 7668765@qq.com [用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; TencentTraveler ; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ) ………………

这个毒貌似有毛病。
将bak.css改名为bak.exe运行。
bak.exe运行后释放并加载：
C:\Documents and Settings\Lenovo\Local Settings\Temp\~56.tmp
此后~56.tmp被自动删除。
然后观察到下列文件释放：
c:\1.exe
C:\Documents and Settings\All Users\「开始」菜单\程序\启动\bak.exe\
C:\Documents and Settings\Lenovo\Local Settings\Temporary Internet Files\Content.IE5\DJYJTEUT\ctfmon[1].exe
c:\1.exe加载运行时报错。
上述三个文件可以手工删除。
就这些。删除的病毒文件在附件中（密码：123）。

附件: 1558472008226214949.rar

谢谢斑竹的分析.