瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 此毒好阴损!!!(最好高手来分析下此毒的动作)

1234567   1  /  7  页   跳转页

[求助] 此毒好阴损!!!(最好高手来分析下此毒的动作)

收藏
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-02-04 12:31 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

此毒好阴损!!!(最好高手来分析下此毒的动作)

调用服务管理器(services进程) 在注册表中创建服务项目指向它释放的DLL文件  而且该DLL注入了多个系统进程瑞星都没反应    主要是注入svchost中然后挂钩子盗取资料(其它进程也注了例如explorer）  我木马编辑器还是编了防注入的都被它注进去了  老子无语了.........    各位来看看

附件: ms.rar (2009-2-4 12:48:56, 62.59 K)
该附件被下载次数 568



用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; http://bsalsa.com) )
最后编辑SpeW 最后编辑于 2009-02-04 13:26:04
分享到：
gototop
 
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-02-04 12:49 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

回复: 此毒好阴损!!!

绝对的病毒 我测了半天的
gototop
 
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-02-04 13:38 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

回复: 此毒好阴损!!!(最好高手来分析下此毒的动作)

杂子没人帮分析下    高手都哪去了?
gototop
 
随缘92WJC
头像
横据古稀狮
  • 帖子:12667
  • 注册: 2009-01-13
  • 来自:
论坛8周年活动礼物祖国六十华诞论坛9周年纪念09欢乐圣诞10温馨圣诞十周年年度风云人物国庆61周年十一周年勋章
发表于： 2009-02-04 13:47 | 短消息 资料
字号： 小 中 大 4楼

回复：此毒好阴损!!!(最好高手来分析下此毒的动作)

的确是病毒，在c:/windows/system32中生成ykzkjy.dll和ykzkjy.key文件，并新增了系统副ovtjkk,瑞星不报，360有动作提示但无法删除，利用XDELLBOX也无法删除
gototop
 
随缘92WJC
头像
横据古稀狮
  • 帖子:12667
  • 注册: 2009-01-13
  • 来自:
论坛8周年活动礼物祖国六十华诞论坛9周年纪念09欢乐圣诞10温馨圣诞十周年年度风云人物国庆61周年十一周年勋章
发表于： 2009-02-04 13:49 | 短消息 资料
字号： 小 中 大 5楼

回复：此毒好阴损!!!(最好高手来分析下此毒的动作)

等会附上本机运行前后的扫描日志
gototop
 
newcenturymoon
头像
社区嘉宾
  • 帖子:15158
  • 注册: 2005-08-03
  • 来自:
论坛8周年活动礼物幸运草
发表于： 2009-02-04 13:49 | 短消息 资料
字号： 小 中 大 6楼

回复：此毒好阴损!!!(最好高手来分析下此毒的动作)

Backdoor.Win32.PcClient
后门病毒
gototop
 
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-02-04 13:50 | 只看楼主 短消息 资料
字号： 小 中 大 7楼

回复: 此毒好阴损!!!(最好高手来分析下此毒的动作)

那个DLL文件是随机名 不固定的 而且是调用services进程在注册表添加服务项的 一般人看了是系统进程很容易就放过的
gototop
 
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-02-04 13:52 | 只看楼主 短消息 资料
字号： 小 中 大 8楼

回复: 此毒好阴损!!!(最好高手来分析下此毒的动作)



引用:
原帖由 newcenturymoon 于 2009-2-4 13:49:00 发表
Backdoor.Win32.PcClient
后门病毒


能否说一下它有哪些动作  由于是调用services改的注册表 我编规则对它都没用  因为不是它添加的服务
gototop
 
backway
头像
卡卡反病毒小组
  • 帖子:2473
  • 注册: 2008-11-20
  • 来自:
发表于： 2009-02-04 13:52 | 短消息 资料
字号： 小 中 大 9楼

回复：此毒好阴损!!!(最好高手来分析下此毒的动作)

要分析动作的话用HIPS一步一步放行就知道了
gototop
 
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-02-04 13:53 | 只看楼主 短消息 资料
字号： 小 中 大 10楼

回复: 此毒好阴损!!!(最好高手来分析下此毒的动作)

而且编辑器似乎不能监控创建注册表项 只能监控改动
gototop
 
<<上一主题|下一主题>>
1234567   1  /  7  页   跳转页
页面顶部
Powered by Discuz!NT