开启辅助访问 切换到宽版

精易论坛

 找回密码
 注册

QQ登录

只需一步，快速开始

用微信号发送消息登录论坛

新人指南 邀请好友注册 - 我关注人的新帖 教你赚取精币 - 每日签到


求职/招聘- 论坛接单- 开发者大厅

论坛版规 总版规 - 建议/投诉 - 应聘版主 - 精华帖总集 积分说明 - 禁言标准 - 有奖举报

精易论坛»论坛 › 会员互动区 › 娱乐闲聊 › 论坛发布的SH3.41貌似有毒？
123下一页
返回列表 发新帖
查看: 5733|回复: 35
收起左侧

[闲聊] 论坛发布的SH3.41貌似有毒？

[复制链接]
逆夏
结帖率：58% (21/36)
发表于 2016-4-6 17:26:23 | 显示全部楼层 |阅读模式   江西省南昌市
本帖最后由 逆夏 于 2016-4-6 18:33 编辑

使用该模块后有时候会自动生成一个子文件（宿主程序的名字+Srv.exe）有没毒我就不说了,上检测报告。你们也可以自己去体验。该模块地址为http://bbs.125.la/thread-13880456-1-1.html

有人说，一大堆分析有毛用。我想问你下 哥们  你是不是傻逼？



关键行为 行为描述： 修改原系统的EXE文件  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll
行为描述： 跨进程写入数据  
详情信息： TargetProcess = iexplore.exe, WriteAddress = 0x20040000, Size = 53248
TargetProcess = iexplore.exe, WriteAddress = 0x00020000, Size = 563
TargetProcess = iexplore.exe, WriteAddress = 0x00401a25, Size = 12
行为描述： 跨进程写代码段数据  
详情信息： C:\Program Files\Internet Explorer\iexplore.exe, WriteAddress = 0x00401A25, EntryPoint = 0x00401A25
行为描述： 查找文件方式探测虚拟机  
详情信息： FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Application Data\VMware\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VBoxGuestAdditions\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VMwareDnD\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\All Users\Application Data\VMware\*.*
行为描述： 获取窗口截图信息  
详情信息： Foreground window Info: HWND = 0x24010301, DC = 0x24010301.
Foreground window Info: HWND = 0x160104cc, DC = 0x160104cc.
行为描述： 设置特殊文件夹属性  
详情信息： C:\DiskX\RECYCLER
行为描述： 修改注册表_启动项  
详情信息： \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
进程行为 行为描述： 跨进程写入数据  
详情信息： TargetProcess = iexplore.exe, WriteAddress = 0x20040000, Size = 53248
TargetProcess = iexplore.exe, WriteAddress = 0x00020000, Size = 563
TargetProcess = iexplore.exe, WriteAddress = 0x00401a25, Size = 12
行为描述： 创建本地线程  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.590138.exe_7zdump\服务器\1111111.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.590479.exe_7zdump\服务器\1111111.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.590822.exe_7zdump\服务器\1111111Srv.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.591167.exe_7zdump\服务器\1111111Srv.exe
C:\Program Files\Microsoft\DesktopLayer.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.591895.exe_7zdump\服务器\1111111Srv.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.592243.exe_7zdump\服务器\1111111Srv.exe
C:\Program Files\Internet Explorer\iexplore.exe
行为描述： 创建进程  
详情信息： ImagePath = C:\Program Files\Internet Explorer\IEXPLORE.EXE, CmdLine = "C:\Program Files\Internet Explorer\IEXPLORE.EXE"
行为描述： 创建新文件进程  
详情信息： ImagePath = C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.617696.exe_7zdump\服务器\1111111Srv.exe, CmdLine = "C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.617696.exe_7zdump\服务器\1111111Srv.exe"
ImagePath = C:\Program Files\Microsoft\DesktopLayer.exe, CmdLine = "C:\Program Files\Microsoft\DesktopLayer.exe"
行为描述： 枚举进程  
详情信息： N/A
行为描述： 跨进程写代码段数据  
详情信息： C:\Program Files\Internet Explorer\iexplore.exe, WriteAddress = 0x00401A25, EntryPoint = 0x00401A25
行为描述： 进程退出  
详情信息： N/A
运行截图基本信息 文件名称： 服务器.zip

MD5： 921cb539286ed0781f79fbe41a6fd923  
文件类型： zip  
上传时间： 2016-04-06 17:10:47  
出品公司： N/A  
版本： N/A  
壳或编译器信息： COMPILER:Elan  
报毒名称： Virus.Win32.Ramnit.c  
子文件信息： 详情
1111111.exe /  4efcf57d4176f22478b2d18c0a90c96c /  EXE  
01.dll /  46c9c92f490e25f32d1ec228b5a200ec /  DLL  
02.dll /  06e459ab2e0b83b518d7fcb405cca928 /  DLL  
03.dll /  dbcfd8d2c04e18e24b0cd68eba641afb /  DLL  
krnln.fnr /  bd01aea6d5bb2e93937531f8b47ec871 /  DLL  
mysql.fne /  5bc00022d9be69c4f21c1ef15fb8170c /  DLL  
Email.dll /  65e62401c1c0bea4b27ae14fd0a92397 /  DLL  
The dream-seeker TCP engine.dll /  328fb225d89066754bdb3d15c39d7aa3 /  DLL  
mysql.dll /  a315f1dff5ffa2c40f200bbd911a9f5d /  DLL  
jmail.dll /  2e3a4a1dce3fe450dd7ec4f97cfc789f /  DLL  
eAPI.fne /  7c1ff88991f5eafab82b1beaefc33a42 /  DLL  
iext.fnr /  856495a1605bfc7f62086d482b502c6f /  DLL  
HPSocket4C.dll /  1714ce47815be2e0eff0ce049820d4f8 /  DLL  
HPSocket4C_U.dll /  5b88851d11918404d73e86a7359d192c /  DLL  
spec.fne /  bd6eef5ea9a52a412a8f57490d8bd8e4 /  DLL  
EThread.fne /  206396257b97bd275a90ce6c2c0c37fd /  DLL  
商务风格.she /  bf6e3646e68632052c14d31548c878c0 /  Unknown  
pz.ini /  8efb6e189c81d67bbc5b6bbf663a50ba /  Unknown  



关键行为 行为描述： 修改原系统的EXE文件  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll

行为描述： 跨进程写入数据  
详情信息： TargetProcess = iexplore.exe, WriteAddress = 0x20040000, Size = 53248
TargetProcess = iexplore.exe, WriteAddress = 0x00020000, Size = 563
TargetProcess = iexplore.exe, WriteAddress = 0x00401a25, Size = 12

行为描述： 跨进程写代码段数据  
详情信息： C:\Program Files\Internet Explorer\iexplore.exe, WriteAddress = 0x00401A25, EntryPoint = 0x00401A25

行为描述： 查找文件方式探测虚拟机  
详情信息： FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Application Data\VMware\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VBoxGuestAdditions\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VMwareDnD\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\All Users\Application Data\VMware\*.*

行为描述： 获取窗口截图信息  
详情信息： Foreground window Info: HWND = 0x24010301, DC = 0x24010301.
Foreground window Info: HWND = 0x160104cc, DC = 0x160104cc.

行为描述： 设置特殊文件夹属性  
详情信息： C:\DiskX\RECYCLER

行为描述： 修改注册表_启动项  
详情信息： \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit



进程行为 行为描述： 跨进程写入数据  
详情信息： TargetProcess = iexplore.exe, WriteAddress = 0x20040000, Size = 53248
TargetProcess = iexplore.exe, WriteAddress = 0x00020000, Size = 563
TargetProcess = iexplore.exe, WriteAddress = 0x00401a25, Size = 12

行为描述： 创建本地线程  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.590138.exe_7zdump\服务器\1111111.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.590479.exe_7zdump\服务器\1111111.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.590822.exe_7zdump\服务器\1111111Srv.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.591167.exe_7zdump\服务器\1111111Srv.exe
C:\Program Files\Microsoft\DesktopLayer.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.591895.exe_7zdump\服务器\1111111Srv.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.592243.exe_7zdump\服务器\1111111Srv.exe
C:\Program Files\Internet Explorer\iexplore.exe

行为描述： 创建进程  
详情信息： ImagePath = C:\Program Files\Internet Explorer\IEXPLORE.EXE, CmdLine = "C:\Program Files\Internet Explorer\IEXPLORE.EXE"

行为描述： 创建新文件进程  
详情信息： ImagePath = C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.617696.exe_7zdump\服务器\1111111Srv.exe, CmdLine = "C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.617696.exe_7zdump\服务器\1111111Srv.exe"
ImagePath = C:\Program Files\Microsoft\DesktopLayer.exe, CmdLine = "C:\Program Files\Microsoft\DesktopLayer.exe"

行为描述： 枚举进程  
详情信息： N/A

行为描述： 跨进程写代码段数据  
详情信息： C:\Program Files\Internet Explorer\iexplore.exe, WriteAddress = 0x00401A25, EntryPoint = 0x00401A25

行为描述： 进程退出  
详情信息： N/A



文件行为 行为描述： 创建文件  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.515565.exe_7zdump\服务器\1111111Srv.exe
C:\Program Files\Microsoft\px4.tmp
C:\Program Files\Microsoft\DesktopLayer.exe
C:\Program Files\Microsoft\px5.tmp
C:\Program Files\Internet Explorer\dmlconf.dat

行为描述： 修改原系统的EXE文件  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll

行为描述： 创建可执行文件  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.463056.exe_7zdump\服务器\1111111Srv.exe
C:\Program Files\Microsoft\DesktopLayer.exe

行为描述： 覆盖已有文件  
详情信息： C:\Program Files\Microsoft\px4.tmp
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.516906.exe_7zdump\服务器\1111111Srv.exe
C:\Program Files\Microsoft\px5.tmp
C:\Program Files\Internet Explorer\dmlconf.dat

行为描述： 复制文件  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.603981.exe_7zdump\服务器\1111111Srv.exe ---> C:\Program Files\Microsoft\DesktopLayer.exe

行为描述： 内存映射方式修改可执行文件  
详情信息： \device\harddiskvolume1\documents and settings\administrator\application data\sogouexplorer\extension\com.sogou.snaptaker\0.4.2\npprintscreen.dll

行为描述： 删除文件  
详情信息： C:\Program Files\Microsoft\px4.tmp
C:\Program Files\Microsoft\px5.tmp

行为描述： 查找文件  
详情信息： FileName = C:\Documents and Settings\Administrator\Local Settings\Temp
FileName = C:\Documents and Settings\Administrator\Local Settings\%temp%
FileName = C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.619555.exe_7zdump\服务器
FileName = C:\Program Files\Internet Explorer\IEXPLORE.EXE
FileName = C:\Program Files\Internet Explorer\iexplore.exe
FileName = C:\*.*
FileName = C:\222c25ed\*.*
FileName = C:\222c25ed\IE8-Setup-Full\*.*
FileName = C:\222c25ed\IE8-Setup-Full\log\*.*
FileName = C:\AnalyzeControl\*.*
FileName = C:\DiskD\*.*
FileName = C:\DiskX\*.*
FileName = C:\DiskX\RECYCLER\*.*
FileName = C:\Documents and Settings\*.*
FileName = C:\Documents and Settings\Administrator\*.*
行为描述： 设置特殊文件夹属性  
详情信息： C:\DiskX\RECYCLER
行为描述： 修改文件内容  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.522037.exe_7zdump\服务器\1111111Srv.exe

网络行为 行为描述： 建立到一个指定的套接字连接  
详情信息： URL: go******om, IP: <FAKE_SERVER_IP>:80, SOCKET = 0x00000120
URL: fg***********om, IP: <FAKE_SERVER_IP>:443, SOCKET = 0x0000012c
行为描述： 按名称获取主机地址  
详情信息： gethostbyname: go******om
gethostbyname: fg***********om
行为描述： 创建互斥体  
详情信息： KyUffThOkYwRRtgPP
CTF.LBES.MutexDefaultS-*
CTF.Compart.MutexDefaultS-*
CTF.Asm.MutexDefaultS-*
CTF.Layouts.MutexDefaultS-*
CTF.TMD.MutexDefaultS-*
CTF.TimListCache.FMPDefaultS-*MUTEX.DefaultS-*
MSCTF.Shared.MUTEX.ELH
MSCTF.Shared.MUTEX.MJE

行为描述： 创建事件对象  
详情信息： EventName = DINPUTWINMM
EventName = MSCTF.SendReceiveConection.Event.MJE.IC
EventName = MSCTF.SendReceive.Event.MJE.IC

行为描述： 修改后的可执行文件MD5  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll ---> 8d4d6552452617a59ccce32abb98899e

行为描述： 窗口信息  
详情信息： Pid = 124, Hwnd=0x202c2, Text = 0%, ClassName = Afx:400000:b:10011:1900015:0.
Pid = 124, Hwnd=0x302bc, Text = 连接[0]位[0/5000] 空闲[2000]位, ClassName = _EL_Label.
Pid = 124, Hwnd=0x202cc, Text = 累计请求：, ClassName = msctls_statusbar32.
Pid = 124, Hwnd=0x202a8, Text = SHTB控制终端, ClassName = WTWindow.

行为描述： 修改后的可执行文件签名信息  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll(签名验证: 未通过)
行为描述： 获取窗口截图信息  
详情信息： Foreground window Info: HWND = 0x24010301, DC = 0x24010301.
Foreground window Info: HWND = 0x160104cc, DC = 0x160104cc.
行为描述： 可执行文件签名信息  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.599453.exe_7zdump\服务器\1111111Srv.exe(签名验证: 未通过)
C:\Program Files\Microsoft\DesktopLayer.exe(签名验证: 未通过)
行为描述： 隐藏指定窗口  
详情信息： [Window,Class] = [,msctls_progress32]
[Window,Class] = [0%,Afx:400000:b:10011:1900015:0]
[Window,Class] = [,_EL_Timer]
[Window,Class] = [SHTB控制终端,WTWindow]

行为描述： 可执行文件MD5  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934846.598272.exe_7zdump\服务器\1111111Srv.exe ---> ff5e1f27193ce51eec318714ef038bef
C:\Program Files\Microsoft\DesktopLayer.exe ---> ff5e1f27193ce51eec318714ef038bef
行为描述： 查找指定窗口  
详情信息： NtUserFindWindowEx: [Class,Window] = [,]
NtUserFindWindowEx: [Class,Window] = [Shell_TrayWnd,]
NtUserFindWindowEx: [Class,Window] = [CicLoaderWndClass,]
行为描述： 查找文件方式探测虚拟机  
详情信息： FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Application Data\VMware\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VBoxGuestAdditions\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VMwareDnD\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\All Users\Application Data\VMware\*.*





点评

逆夏
Srv.exe***连接。http://www.freebuf.com/articles/network/100827.html   江西省南昌市  发表于 2016-4-6 23:46
人善帝王心
楼主，具我分析 模块制作做电脑被感染的exe 封装到了模块内容！导致使用者感染！能不能说***名，是不是只感染exe与html   湖南省株洲市  发表于 2016-4-6 22:26
Kumor
一大堆分析有毛用......   浙江省杭州市  发表于 2016-4-6 18:17
年少无知丿
deaktoplayer.exe这个是个关键，然后就是还会感染html文件，根据我扫出来的结果   浙江省杭州市  发表于 2016-4-6 17:49
逆夏
https://habo.qq.com/file/showdetail?md5=921cb539286ed0781f79fbe41a6fd923&pk=ADQGYV1kB28IPls6   江西省南昌市  发表于 2016-4-6 17:42
年少无知丿
感觉不光是这个模块有，其他发的源码也可能会有，具体我不确定是哪个，因为这几天都是从论坛上下的源码，然后电脑就出现了这种情况(我没有下楼主说的源码，但是下了其他源码)   浙江省杭州市  发表于 2016-4-6 17:36
逆夏
分析地址：https://habo.qq.com/file/showdetail?md5=7c724e154505b4700ce3de14f47f02e8&pk=ADQGYV1kB28IPls%2B https://habo.qq.com/file/showdetail?md5=7c724e154505b4700ce3de14f47f02e8&pk=ADQGYV1kB28I   江西省南昌市  发表于 2016-4-6 17:30

评分

参与人数 1好评 +1 精币 +5 收起 理由
精易客服 + 1 + 5 已禁言，感谢举报

查看全部评分

回复

使用道具 举报

逆夏
结帖率：58% (21/36)
 楼主| 发表于 2016-4-6 17:26:38 | 显示全部楼层   江西省南昌市
下面是自动创建的文件（1111111Srv.exe）的检测报告

行为描述： 修改原系统的EXE文件  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll

行为描述： 跨进程写入数据  
详情信息： TargetProcess = iexplore.exe, WriteAddress = 0x20040000, Size = 53248
TargetProcess = iexplore.exe, WriteAddress = 0x00020000, Size = 563
TargetProcess = iexplore.exe, WriteAddress = 0x00401a25, Size = 12

行为描述： 修改注册表_启动项  
详情信息： \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

行为描述： 跨进程写代码段数据  
详情信息： C:\Program Files\Internet Explorer\iexplore.exe, WriteAddress = 0x00401A25, EntryPoint = 0x00401A25

行为描述： 设置特殊文件夹属性  
详情信息： C:\DiskX\RECYCLER

行为描述： 查找文件方式探测虚拟机  
详情信息： FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Application Data\VMware\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VBoxGuestAdditions\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VMwareDnD\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\All Users\Application Data\VMware\*.*
其他行为基本信息 文件名称： 1111111Srv.exe

MD5： 7c724e154505b4700ce3de14f47f02e8  
文件类型： EXE  
上传时间： 2016-04-06 17:04:54  
出品公司： SOFTWIN S  
版本： 106.42.73.61---106.42.73  
壳或编译器信息： PACKER:UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo  
报毒名称： Trojan.Win32.Ramnit.efg  

关键行为 行为描述： 修改原系统的EXE文件  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll

行为描述： 跨进程写入数据  
详情信息： TargetProcess = iexplore.exe, WriteAddress = 0x20040000, Size = 53248
TargetProcess = iexplore.exe, WriteAddress = 0x00020000, Size = 563
TargetProcess = iexplore.exe, WriteAddress = 0x00401a25, Size = 12

行为描述： 修改注册表_启动项  
详情信息： \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

行为描述： 跨进程写代码段数据  
详情信息： C:\Program Files\Internet Explorer\iexplore.exe, WriteAddress = 0x00401A25, EntryPoint = 0x00401A25

行为描述： 设置特殊文件夹属性  
详情信息： C:\DiskX\RECYCLER

行为描述： 查找文件方式探测虚拟机  
详情信息： FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Application Data\VMware\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VBoxGuestAdditions\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VMwareDnD\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\All Users\Application Data\VMware\*.*


进程行为 行为描述： 创建进程  
详情信息： ImagePath = C:\Program Files\Internet Explorer\IEXPLORE.EXE, CmdLine = "C:\Program Files\Internet Explorer\IEXPLORE.EXE"

行为描述： 创建新文件进程  
详情信息： ImagePath = C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe, CmdLine = "C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe"
ImagePath = C:\Program Files\Microsoft\DesktopLayer.exe, CmdLine = "C:\Program Files\Microsoft\DesktopLayer.exe"
ImagePath = C:\Program Files\Microsoft\DesktopLayerSrv.exe, CmdLine = "C:\Program Files\Microsoft\DesktopLayerSrv.exe"
ImagePath = C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.133821.exe, CmdLine = "C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.133821.exe"

行为描述： 跨进程写入数据  
详情信息： TargetProcess = iexplore.exe, WriteAddress = 0x20040000, Size = 53248
TargetProcess = iexplore.exe, WriteAddress = 0x00020000, Size = 563
TargetProcess = iexplore.exe, WriteAddress = 0x00401a25, Size = 12

行为描述： 枚举进程  
详情信息： N/A

行为描述： 跨进程写代码段数据  
详情信息： C:\Program Files\Internet Explorer\iexplore.exe, WriteAddress = 0x00401A25, EntryPoint = 0x00401A25

行为描述： 创建本地线程  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.196238.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.196566.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe
C:\Program Files\Microsoft\DesktopLayer.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Microsoft\DesktopLayerSrv.exe

行为描述： 进程退出  
详情信息： N/A


文件行为 行为描述： 创建文件  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe
C:\Program Files\Microsoft\px3.tmp
C:\Program Files\Microsoft\DesktopLayer.exe
C:\Program Files\Microsoft\px4.tmp
C:\Program Files\Microsoft\DesktopLayerSrv.exe
C:\Program Files\Internet Explorer\dmlconf.dat

行为描述： 修改原系统的EXE文件  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll

行为描述： 创建可执行文件  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe
C:\Program Files\Microsoft\DesktopLayer.exe
C:\Program Files\Microsoft\DesktopLayerSrv.exe

行为描述： 覆盖已有文件  
详情信息： C:\Program Files\Microsoft\px3.tmp
C:\Program Files\Microsoft\px4.tmp
C:\Program Files\Internet Explorer\dmlconf.dat

行为描述： 复制文件  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.206134.exe ---> C:\Program Files\Microsoft\DesktopLayer.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe ---> C:\Program Files\Microsoft\DesktopLayer.exe

行为描述： 内存映射方式修改可执行文件  
详情信息： \device\harddiskvolume1\documents and settings\administrator\application data\sogouexplorer\extension\com.sogou.snaptaker\0.4.2\npprintscreen.dll

行为描述： 删除文件  
详情信息： C:\Program Files\Microsoft\px3.tmp
C:\Program Files\Microsoft\px4.tmp

行为描述： 查找文件  
详情信息： FileName = C:\Documents and Settings\Administrator\Local Settings\Temp
FileName = C:\Documents and Settings\Administrator\Local Settings\%temp%
FileName = C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe
FileName = C:\Program Files\Internet Explorer\IEXPLORE.EXE
FileName = C:\Program Files\Internet Explorer\iexplore.exe
FileName = C:\*.*
FileName = C:\222c25ed\*.*
FileName = C:\222c25ed\IE8-Setup-Full\*.*
FileName = C:\222c25ed\IE8-Setup-Full\log\*.*
FileName = C:\AnalyzeControl\*.*
FileName = C:\DiskD\*.*
FileName = C:\DiskX\*.*
FileName = C:\DiskX\RECYCLER\*.*
FileName = C:\Documents and Settings\*.*
FileName = C:\Documents and Settings\Administrator\*.*

行为描述： 设置特殊文件夹属性  
详情信息： C:\DiskX\RECYCLER

行为描述： 修改文件内容  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe ---> Offset = 0
C:\Program Files\Microsoft\DesktopLayer.exe ---> Offset = 0
C:\Program Files\Microsoft\DesktopLayer.exe ---> Offset = 65536
C:\Program Files\Microsoft\DesktopLayer.exe ---> Offset = 4096
C:\Program Files\Microsoft\DesktopLayer.exe ---> Offset = 8192
C:\Program Files\Microsoft\DesktopLayerSrv.exe ---> Offset = 0
C:\Program Files\Internet Explorer\dmlconf.dat ---> Offset = 0
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.privateSurf\0.0.0.1\backgroundpage.html ---> Offset = 2787
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.quicklink\0.0.0.1\backgroundpage.html ---> Offset = 873
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.quicklink\0.0.0.1\popup.html ---> Offset = 39547
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.secondAccount\0.0.0.1\backgroundpage.html ---> Offset = 1227
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.share\0.0.0.1\backgroundpage.html ---> Offset = 5201
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.privateSurf\0.0.0.1\backgroundpage.html ---> Offset = 0
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.privateSurf\0.0.0.1\backgroundpage.html ---> Offset = 65536
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.quicklink\0.0.0.1\backgroundpage

行为描述： 修改注册表_启动项  
详情信息： \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

基本信息关键行为进程行为文件行为网络行为注册表行为其他行为基本信息 文件名称： 1111111Srv.exe

MD5： 7c724e154505b4700ce3de14f47f02e8  
文件类型： EXE  
上传时间： 2016-04-06 17:04:54  
出品公司： SOFTWIN S  
版本： 106.42.73.61---106.42.73  
壳或编译器信息： PACKER:UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo  
报毒名称： Trojan.Win32.Ramnit.efg  

关键行为 行为描述： 修改原系统的EXE文件  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll

行为描述： 跨进程写入数据  
详情信息： TargetProcess = iexplore.exe, WriteAddress = 0x20040000, Size = 53248
TargetProcess = iexplore.exe, WriteAddress = 0x00020000, Size = 563
TargetProcess = iexplore.exe, WriteAddress = 0x00401a25, Size = 12

行为描述： 修改注册表_启动项  
详情信息： \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

行为描述： 跨进程写代码段数据  
详情信息： C:\Program Files\Internet Explorer\iexplore.exe, WriteAddress = 0x00401A25, EntryPoint = 0x00401A25

行为描述： 设置特殊文件夹属性  
详情信息： C:\DiskX\RECYCLER

行为描述： 查找文件方式探测虚拟机  
详情信息： FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Application Data\VMware\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VBoxGuestAdditions\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VMwareDnD\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\All Users\Application Data\VMware\*.*


进程行为 行为描述： 创建进程  
详情信息： ImagePath = C:\Program Files\Internet Explorer\IEXPLORE.EXE, CmdLine = "C:\Program Files\Internet Explorer\IEXPLORE.EXE"

行为描述： 创建新文件进程  
详情信息： ImagePath = C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe, CmdLine = "C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe"
ImagePath = C:\Program Files\Microsoft\DesktopLayer.exe, CmdLine = "C:\Program Files\Microsoft\DesktopLayer.exe"
ImagePath = C:\Program Files\Microsoft\DesktopLayerSrv.exe, CmdLine = "C:\Program Files\Microsoft\DesktopLayerSrv.exe"
ImagePath = C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.133821.exe, CmdLine = "C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.133821.exe"

行为描述： 跨进程写入数据  
详情信息： TargetProcess = iexplore.exe, WriteAddress = 0x20040000, Size = 53248
TargetProcess = iexplore.exe, WriteAddress = 0x00020000, Size = 563
TargetProcess = iexplore.exe, WriteAddress = 0x00401a25, Size = 12

行为描述： 枚举进程  
详情信息： N/A

行为描述： 跨进程写代码段数据  
详情信息： C:\Program Files\Internet Explorer\iexplore.exe, WriteAddress = 0x00401A25, EntryPoint = 0x00401A25

行为描述： 创建本地线程  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.196238.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.196566.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe
C:\Program Files\Microsoft\DesktopLayer.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Microsoft\DesktopLayerSrv.exe

行为描述： 进程退出  
详情信息： N/A


文件行为 行为描述： 创建文件  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe
C:\Program Files\Microsoft\px3.tmp
C:\Program Files\Microsoft\DesktopLayer.exe
C:\Program Files\Microsoft\px4.tmp
C:\Program Files\Microsoft\DesktopLayerSrv.exe
C:\Program Files\Internet Explorer\dmlconf.dat

行为描述： 修改原系统的EXE文件  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll

行为描述： 创建可执行文件  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe
C:\Program Files\Microsoft\DesktopLayer.exe
C:\Program Files\Microsoft\DesktopLayerSrv.exe

行为描述： 覆盖已有文件  
详情信息： C:\Program Files\Microsoft\px3.tmp
C:\Program Files\Microsoft\px4.tmp
C:\Program Files\Internet Explorer\dmlconf.dat

行为描述： 复制文件  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\1459934495.206134.exe ---> C:\Program Files\Microsoft\DesktopLayer.exe
C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe ---> C:\Program Files\Microsoft\DesktopLayer.exe

行为描述： 内存映射方式修改可执行文件  
详情信息： \device\harddiskvolume1\documents and settings\administrator\application data\sogouexplorer\extension\com.sogou.snaptaker\0.4.2\npprintscreen.dll

行为描述： 删除文件  
详情信息： C:\Program Files\Microsoft\px3.tmp
C:\Program Files\Microsoft\px4.tmp

行为描述： 查找文件  
详情信息： FileName = C:\Documents and Settings\Administrator\Local Settings\Temp
FileName = C:\Documents and Settings\Administrator\Local Settings\%temp%
FileName = C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe
FileName = C:\Program Files\Internet Explorer\IEXPLORE.EXE
FileName = C:\Program Files\Internet Explorer\iexplore.exe
FileName = C:\*.*
FileName = C:\222c25ed\*.*
FileName = C:\222c25ed\IE8-Setup-Full\*.*
FileName = C:\222c25ed\IE8-Setup-Full\log\*.*
FileName = C:\AnalyzeControl\*.*
FileName = C:\DiskD\*.*
FileName = C:\DiskX\*.*
FileName = C:\DiskX\RECYCLER\*.*
FileName = C:\Documents and Settings\*.*
FileName = C:\Documents and Settings\Administrator\*.*

行为描述： 设置特殊文件夹属性  
详情信息： C:\DiskX\RECYCLER

行为描述： 修改文件内容  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe ---> Offset = 0
C:\Program Files\Microsoft\DesktopLayer.exe ---> Offset = 0
C:\Program Files\Microsoft\DesktopLayer.exe ---> Offset = 65536
C:\Program Files\Microsoft\DesktopLayer.exe ---> Offset = 4096
C:\Program Files\Microsoft\DesktopLayer.exe ---> Offset = 8192
C:\Program Files\Microsoft\DesktopLayerSrv.exe ---> Offset = 0
C:\Program Files\Internet Explorer\dmlconf.dat ---> Offset = 0
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.privateSurf\0.0.0.1\backgroundpage.html ---> Offset = 2787
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.quicklink\0.0.0.1\backgroundpage.html ---> Offset = 873
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.quicklink\0.0.0.1\popup.html ---> Offset = 39547
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.secondAccount\0.0.0.1\backgroundpage.html ---> Offset = 1227
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.share\0.0.0.1\backgroundpage.html ---> Offset = 5201
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.privateSurf\0.0.0.1\backgroundpage.html ---> Offset = 0
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.privateSurf\0.0.0.1\backgroundpage.html ---> Offset = 65536
C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.quicklink\0.0.0.1\backgroundpage.html ---> Offset = 0


网络行为 行为描述： 建立到一个指定的套接字连接  
详情信息： URL: go******om, IP: <FAKE_SERVER_IP>:80, SOCKET = 0x00000120
URL: fg***********om, IP: <FAKE_SERVER_IP>:443, SOCKET = 0x00000128

行为描述： 按名称获取主机地址  
详情信息： gethostbyname: go******om
gethostbyname: fg***********om


注册表行为 行为描述： 修改注册表_启动项  
详情信息： \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit


其他行为 行为描述： 创建互斥体  
详情信息： KyUffThOkYwRRtgPP

行为描述： 修改后的可执行文件MD5  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll ---> ff7db3db534236b7738ccce99ae33e09

行为描述： 修改后的可执行文件签名信息  
详情信息： C:\Documents and Settings\Administrator\Application Data\SogouExplorer\Extension\com.sogou.snapTaker\0.4.2\npprintscreen.dll(签名验证: 未通过)

行为描述： 可执行文件签名信息  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe(签名验证: 未通过)
C:\Program Files\Microsoft\DesktopLayer.exe(签名验证: 未通过)
C:\Program Files\Microsoft\DesktopLayerSrv.exe(签名验证: 未通过)

行为描述： 可执行文件MD5  
详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\996ESrv.exe ---> ff5e1f27193ce51eec318714ef038bef
C:\Program Files\Microsoft\DesktopLayer.exe ---> 7c724e154505b4700ce3de14f47f02e8
C:\Program Files\Microsoft\DesktopLayerSrv.exe ---> ff5e1f27193ce51eec318714ef038bef

行为描述： 查找文件方式探测虚拟机  
详情信息： FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Application Data\VMware\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VBoxGuestAdditions\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\Local Settings\Temp\VMwareDnD\*.*
FindFirstFileEx: FileName = C:\Documents and Settings\All Users\Application Data\VMware\*.*


回复 支持 反对

使用道具 举报

易语言12345
结帖率：100% (3/3)
发表于 2016-4-6 21:58:30 | 显示全部楼层   四川省眉山市
楼主直接复制的吧‘
回复 支持 反对

使用道具 举报

空之影

结帖率：94% (47/50)
发表于 2016-4-6 21:56:24 | 显示全部楼层   广东省东莞市
QQ2388300238 发表于 2016-4-6 18:57
听你这意思好像是反破J机制被触发了

应该是吧。
回复 支持 反对

使用道具 举报

学习不易哦
结帖率：83% (25/30)
发表于 2016-4-6 20:50:33 | 显示全部楼层   老挝
我擦，能看懂的都是大牛~！
回复 支持 反对

使用道具 举报

铅笔刀
结帖率：80% (4/5)

签到天数: 15 天
发表于 2016-4-6 19:09:38 | 显示全部楼层   江苏省南京市
类似模块 官方论坛貌似有开源的
回复 支持 反对

使用道具 举报

逆夏
结帖率：58% (21/36)
 楼主| 发表于 2016-4-6 19:03:04 | 显示全部楼层   江西省南昌市
QQ2388300238 发表于 2016-4-6 18:57
听你这意思好像是反破J机制被触发了

没破J。  直接正常调用
回复 支持 反对

使用道具 举报

liux

结帖率：82% (9/11)

签到天数: 18 天
发表于 2016-4-6 19:01:51 | 显示全部楼层   广东省东莞市
我中这个病毒5年了 都懒得杀  附带装杀工具 和检测工具  检测是自己写的  专杀网上找的 专杀srv.rar (308.74 KB, 下载次数: 7)
回复 支持 反对

使用道具 举报

红颜脸庞仍娇俏

结帖率：95% (37/39)

签到天数: 19 天
发表于 2016-4-6 18:57:38 | 显示全部楼层   山东省济南市
精易丿小猪 发表于 2016-4-6 17:39
这毒好像 打开OD的时候才会出现，正常运行不会。

听你这意思好像是反破J机制被触发了
回复 支持 反对

使用道具 举报

13600798154
结帖率：96% (48/50)
发表于 2016-4-6 18:57:24 | 显示全部楼层   福建省泉州市
srv 是感染型病毒吧，危险啥的没有 就是杀不干净恶心
回复 支持 反对

使用道具 举报

代表太阳太阳你
结帖率：71% (5/7)
发表于 2016-4-6 18:52:46 | 显示全部楼层   广东省深圳市
我以前中过一个毒,会在C盘生成一个自启动的毒C:\Program Files\Microsoft\DesktopLayer.exe.这个毒会感染全盘的exe还有图片文件
md5地址 https://habo.qq.com/file/showdetail?md5=54424837157c1d5a2e79f4efd71405b2&pk=ADQGZV1oB2IIPls4
回复 支持 反对

使用道具 举报

123下一页
返回列表 发新帖
  高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册

本版积分规则 致发广告者

发布主题 收藏帖子 返回列表

sitemap| 易语言源码| 易语言教程| 易语言论坛| 易语言模块| 手机版| 广告投放| 精易论坛
拒绝任何人以任何形式在本论坛发表与中华人民共和国法律相抵触的言论，本站内容均为会员发表，并不代表精易立场!
论坛帖子内容仅用于技术交流学习和研究的目的，严禁用于非法目的，否则造成一切后果自负！如帖子内容侵害到你的权益，请联系我们！
防范网络诈骗，远离网络犯罪 违法和不良信息举报电话0663-3422125，QQ： 793400750，邮箱：wp@125.la
网站简介：精易论坛成立于2009年，是一个程序设计学习交流技术论坛，隶属于揭阳市揭东区精易科技有限公司所有。
Powered by Discuz! X3.4 揭阳市揭东区精易科技有限公司 ( 粤ICP备12094385号-1) 粤公网安备 44522102000125　增值电信业务经营许可证 粤B2-20192173

快速回复 返回顶部 返回列表