瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 【讨论】回"小聪"鸽子二测结果...

12   1  /  2  页   跳转页

【讨论】回"小聪"鸽子二测结果...

收藏
mopery
头像
卡卡技术团队
  • 帖子:17737
  • 注册: 2005-12-06
  • 来自:New York
卡卡名人堂论坛9周年纪念
发表于： 2006-07-08 07:19 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

【讨论】回"小聪"鸽子二测结果...

与小聪同时测试一只从QQ群拿到的样本..
C:\WINDOWS\system32\shellext\services.exe 
第一次测试是此鸽子轻松杀除..(并没发现异常)..小聪测试发现一个异常点..
删除[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]对应的项后..
去[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services] 会有一个和[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]一模一样的systemLog ..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services]没有此项...

我第一次测试并没删除[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services] 的项..
我再次进入虚拟机查看注册表的项..并没有发现systemLog ...

于是进行第二次测试..图如下..
运行此鸽子..
SSM监控到的..

附件附件:

下载次数:310
文件类型:image/pjpeg
文件大小:
上传时间:2006-7-8 7:19:01
描述:



最后编辑2006-07-08 15:47:41
分享到：
gototop
 
mopery
头像
卡卡技术团队
  • 帖子:17737
  • 注册: 2005-12-06
  • 来自:New York
卡卡名人堂论坛9周年纪念
发表于： 2006-07-08 07:20 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

图2

附件附件:

下载次数:261
文件类型:image/pjpeg
文件大小:
上传时间:2006-7-8 7:20:08
描述:
gototop
 
mopery
头像
卡卡技术团队
  • 帖子:17737
  • 注册: 2005-12-06
  • 来自:New York
卡卡名人堂论坛9周年纪念
发表于： 2006-07-08 07:20 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

图3

附件附件:

下载次数:298
文件类型:image/pjpeg
文件大小:
上传时间:2006-7-8 7:20:24
描述:
gototop
 
mopery
头像
卡卡技术团队
  • 帖子:17737
  • 注册: 2005-12-06
  • 来自:New York
卡卡名人堂论坛9周年纪念
发表于： 2006-07-08 07:30 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

图4
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]

附件附件:

下载次数:263
文件类型:image/pjpeg
文件大小:
上传时间:2006-7-8 7:30:36
描述:
gototop
 
mopery
头像
卡卡技术团队
  • 帖子:17737
  • 注册: 2005-12-06
  • 来自:New York
卡卡名人堂论坛9周年纪念
发表于： 2006-07-08 07:31 | 只看楼主 短消息 资料
字号： 小 中 大 5楼

图5
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services]

附件附件:

下载次数:253
文件类型:image/pjpeg
文件大小:
上传时间:2006-7-8 7:31:02
描述:
gototop
 
mopery
头像
卡卡技术团队
  • 帖子:17737
  • 注册: 2005-12-06
  • 来自:New York
卡卡名人堂论坛9周年纪念
发表于： 2006-07-08 07:35 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

其实这只鸽子我也觉得奇怪了...
为什么感染后...会创建俩个服务相关项...
还有按照普通的杀法就能杀掉..
先删除[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]的systemLog 
然后重启..打开注册表[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services] 依然有systemLog  ..
我不管这注册表..然后我删除C:\WINDOWS\system32\shellext\services.exe 
重启 ..再此打开注册表 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services] 发现systemLog 自己变没了...
HijackThis和SREng 扫描也没发现鸽子了...

无法解释...纳闷...
深呼吸...睡觉....
gototop
 
mopery
头像
卡卡技术团队
  • 帖子:17737
  • 注册: 2005-12-06
  • 来自:New York
卡卡名人堂论坛9周年纪念
发表于： 2006-07-08 07:38 | 只看楼主 短消息 资料
字号： 小 中 大 7楼

再帖张图...

附件附件:

下载次数:277
文件类型:image/pjpeg
文件大小:
上传时间:2006-7-8 7:38:27
描述:
gototop
 
独孤豪侠
头像
横据古稀狮
  • 帖子:11896
  • 注册: 2005-08-10
  • 来自:花果山
发表于： 2006-07-08 09:06 | 短消息 资料
字号： 小 中 大 8楼

最后一张图不解.
gototop
 
yanmings
头像
锋芒艾服狮
  • 帖子:1698
  • 注册: 2005-01-10
  • 来自:
发表于： 2006-07-08 12:33 | 短消息 资料
字号： 小 中 大 9楼

收藏
M，你昨天晚上真的没睡觉呀？佩服
gototop
 
mopery
头像
卡卡技术团队
  • 帖子:17737
  • 注册: 2005-12-06
  • 来自:New York
卡卡名人堂论坛9周年纪念
发表于： 2006-07-08 15:26 | 只看楼主 短消息 资料
字号： 小 中 大 10楼

少发了一张图...
我汗 补上...

附件附件:

下载次数:291
文件类型:image/pjpeg
文件大小:
上传时间:2006-7-8 15:26:13
描述:
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT