瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 Trojan-PSW.Win32.QQRob.ec——比较疯狂的木马

12345678   3  /  8  页   跳转页

Trojan-PSW.Win32.QQRob.ec——比较疯狂的木马

收藏
JayFaye
头像
叱咤花甲狮
  • 帖子:3546
  • 注册: 2004-08-15
  • 来自:
发表于： 2006-11-12 11:45 | 短消息 资料
字号： 小 中 大 21楼

早上有空仔细看了这个毒，不是从驱动入手的，病毒也不是妨碍IceSword的初始化，而是直接结束IS的进程，也就是说IS是已经成功启动后才被Ban掉的...

在OD中能看到，病毒只是释放了FuckJacks.exe、setup.exe和autoruns.inf，他会调用cmd同net.exe和net1.exe进行通讯，主要是要进行局域网共享操作。。。
gototop
 
JayFaye
头像
叱咤花甲狮
  • 帖子:3546
  • 注册: 2004-08-15
  • 来自:
发表于： 2006-11-12 11:47 | 短消息 资料
字号： 小 中 大 22楼

exe\scr\pif\com都感染了，呵呵

以后如果有专杀，估计专杀的扩展名得改成cmd\bat才行了，总之可直接执行的都行
gototop
 
JayFaye
头像
叱咤花甲狮
  • 帖子:3546
  • 注册: 2004-08-15
  • 来自:
发表于： 2006-11-12 11:51 | 短消息 资料
字号： 小 中 大 23楼

发现自己很久没登陆卡卡了
gototop
 
雪山飞云
头像
快乐黄口狮
  • 帖子:196
  • 注册: 2005-04-11
  • 来自:
发表于： 2006-11-12 12:22 | 短消息 资料
字号： 小 中 大 24楼

引用:
【baohe的贴子】
观察Dd11这东西要耐心等待。
释放的文件不止最初观察到的那些，
除了前面提到的那些外，至少还有system32文件夹中的msvce32.exe和windows文件夹中的1.exe。
至于FuckJacks导致IceSword不能运行的机制，我观察到的如下：
结束FuckJacks进程后，每当你试图运行IceSword，SSM报告IceSword加载驱动；但这个驱动已经变成病毒提供的.sys。如果不允许这个sys加载，IceSword不能运行。这个sys文件名每次都变。被SSM阻截后，那个.sys即刻自drivers文件夹中消失。如果没有SSM监控，用户根本观察不到这个过程。
………………

baohe斑竹，能不能告诉SSM哪有下载啊，学习学习！
gototop
 
恒星小生
头像
初生襁褓狮
  • 帖子:7
  • 注册: 2006-11-07
  • 来自:
发表于： 2006-11-12 13:33 | 短消息 资料
字号： 小 中 大 25楼

这么强的毒……版 主我也要……发我一个样本吧……wsky@163.com
gototop
 
恒星小生
头像
初生襁褓狮
  • 帖子:7
  • 注册: 2006-11-07
  • 来自:
发表于： 2006-11-12 13:35 | 短消息 资料
字号： 小 中 大 26楼

这么强的毒我喜欢……版 主我也要……发我一个样本吧……wsky@163.com
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-11-12 13:41 | 只看楼主 短消息 资料
字号： 小 中 大 27楼

在SSM的“规则”中这样（见附图）设置一下，IceSword就安全了。FuckJacks也不能骚扰IceSword了，除非它能将SSM关闭。

附件附件:

下载次数:214
文件类型:image/pjpeg
文件大小:
上传时间:2006-11-12 13:41:05
描述:
预览信息:EXIF信息
gototop
 
青ぁ龙ぞ震⊙威
头像
飘泊而立狮
  • 帖子:493
  • 注册: 2006-09-02
  • 来自:自贡市
发表于： 2006-11-12 14:37 | 短消息 资料
字号： 小 中 大 28楼

学习了
gototop
 
现在进行时
头像
锋芒艾服狮
  • 帖子:1837
  • 注册: 2005-06-24
  • 来自:
发表于： 2006-11-12 16:07 | 短消息 资料
字号： 小 中 大 29楼

真有意外收获啊，这些东西越来越精致了，常用的小工具也开始快顶不住了。
gototop
 
和弦外音
头像
锋芒艾服狮
  • 帖子:1410
  • 注册: 2005-12-07
  • 来自:
发表于： 2006-11-12 18:05 | 短消息 资料
字号： 小 中 大 30楼

是有点疯狂……怕了我……
gototop
 
<<上一主题|下一主题>>
12345678   3  /  8  页   跳转页
页面顶部
Powered by Discuz!NT