Zaloguj się

**tachion** · 16.05.2013, 19:23

Trojan.Mods.1 lub jak kto woli Trojan.RedirectENT.140

Nawiązujący do tematu:

[Aby zobaczyć linki, zarejestruj się tutaj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

Kod:
[<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "LoadAppInit_DLLs ''= ''00000001''

[<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "AppInit_DLLs ''=''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll"

Tworzy lub modyfikuje następujące pliki:

% Windir% \ Tasks \ gduivwf.job

Szkodliwe funkcje:

Tworzy i wykonuje następujące czynności:

''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe "Data \ Mozilla \ sklfxjg.exe-jytqpci

Modyfikacja systemu plików:

Tworzy następujące pliki:

% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll

% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe

tobster · 16.05.2013, 19:45

tachion napisał(a): Trojan.Mods.1 lub jak kto woli Trojan.RedirectENT.140

Nawiązujący do tematu:

[Aby zobaczyć linki, zarejestruj się tutaj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

Kod:
[<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "LoadAppInit_DLLs ''= ''00000001'' [<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "AppInit_DLLs ''=''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll" Tworzy lub modyfikuje następujące pliki: % Windir% \ Tasks \ gduivwf.job Szkodliwe funkcje: Tworzy i wykonuje następujące czynności: ''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe "Data \ Mozilla \ sklfxjg.exe-jytqpci Modyfikacja systemu plików: Tworzy następujące pliki: % ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll % ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe

NANO AV - wykrywa.

Lue · 16.05.2013, 19:49

tomatto007 napisał(a): 2013-05-16-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avira Free-418/603=69,32%

tachion napisał(a): Trojan.Mods.1 lub jak kto woli Trojan.RedirectENT.140

[Aby zobaczyć linki, zarejestruj się tutaj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

Kod:
[<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "LoadAppInit_DLLs ''= ''00000001'' [<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "AppInit_DLLs ''=''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll" Tworzy lub modyfikuje następujące pliki: % Windir% \ Tasks \ gduivwf.job Szkodliwe funkcje: Tworzy i wykonuje następujące czynności: ''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe "Data \ Mozilla \ sklfxjg.exe-jytqpci Modyfikacja systemu plików: Tworzy następujące pliki: % ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll % ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe

Avira Free-TR/Drop.Gepys.A.31

Anonymous Network · 16.05.2013, 19:56

tachion napisał(a): Trojan.Mods.1 lub jak kto woli Trojan.RedirectENT.140

Nawiązujący do tematu:

[Aby zobaczyć linki, zarejestruj się tutaj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

Kod:
[<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "LoadAppInit_DLLs ''= ''00000001'' [<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "AppInit_DLLs ''=''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll" Tworzy lub modyfikuje następujące pliki: % Windir% \ Tasks \ gduivwf.job Szkodliwe funkcje: Tworzy i wykonuje następujące czynności: ''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe "Data \ Mozilla \ sklfxjg.exe-jytqpci Modyfikacja systemu plików: Tworzy następujące pliki: % ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll % ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe

[Aby zobaczyć linki, zarejestruj się tutaj]

Conor29134 · 16.05.2013, 20:01

tachion napisał(a): Trojan.Mods.1 lub jak kto woli Trojan.RedirectENT.140

Nawiązujący do tematu:

[Aby zobaczyć linki, zarejestruj się tutaj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

Kod:
[<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "LoadAppInit_DLLs ''= ''00000001'' [<HKLM> \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Windows] "AppInit_DLLs ''=''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll" Tworzy lub modyfikuje następujące pliki: % Windir% \ Tasks \ gduivwf.job Szkodliwe funkcje: Tworzy i wykonuje następujące czynności: ''% ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe "Data \ Mozilla \ sklfxjg.exe-jytqpci Modyfikacja systemu plików: Tworzy następujące pliki: % ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ bwlnzvl.dll % ALLUSERSPROFILE% \ Dane aplikacji \ Mozilla \ sklfxjg.exe

Arcavir 2013 - trojan.shipUP.utr
:O

Anonymous Network · 16.05.2013, 20:22

NEW: Trojan.Beebone.D / Worm.Win32.Vobfus.dvmg

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Aby zobaczyć linki, zarejestruj się tutaj]

fresh, now analyze Wink

@spywar. wrrrr ... angry. Do not steal samples.!

**tachion** · 16.05.2013, 20:24

Fakeav_System Care Antivirus

należący do rodziny WinWebSec

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Aby zobaczyć linki, zarejestruj się tutaj]

Kod:
Defined file type created: C:\ProgramData\3868341E525B886100003867FBBF919C\3868341E525B886100003867FBBF919C.exe\0b0a6e1fd95da6f03a650dfb889cbc62.exe

Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\luafv\Start = 00000004

Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\wuauserv\Start = 00000004

Defined registry AutoStart location created or modified: user\current\software\Microsoft\Windows\CurrentVersion\RunOnce\3868341E525B886100003867

Security Center settings change: machine\software\microsoft\security center\antivirusdisablenotify = 00000001

Security Center settings change: machine\software\microsoft\security center\antivirusoverride = 00000001

Security Center settings change: machine\software\microsoft\security center\firewalldisablenotify = 00000001

Security Center settings change: machine\software\microsoft\security center\firewalloverride = 00000001

Security Center settings change: machine\software\microsoft\security center\svc\antivirusdisablenotify = 00000001

Security Center settings change: machine\software\microsoft\security center\svc\antivirusoverride = 00000001

Security Center settings change: machine\software\microsoft\security center\svc\firewalldisablenotify = 00000001

Security Center settings change: machine\software\microsoft\security center\svc\firewalloverride = 00000001

Security Center settings change: machine\software\microsoft\security center\svc\updatesdisablenotify = 00000001

Security Center settings change: machine\software\microsoft\security center\updatesdisablenotify = 00000001

Slept over 2 minutes

System Restore change: machine\software\microsoft\windows nt\currentversion\systemrestore\rpsessioninterval = empty value key

Internet connection: C:\Users\tachion\Desktop\0b0a6e1fd95da6f03a650dfb889cbc62.exe Connects to "175.41.29.181" on port 80 (TCP - HTTP)

Anonymous Network · 16.05.2013, 20:28

tachion napisał(a): Fakeav_System Care Antivirus

należący do rodziny WinWebSec

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Aby zobaczyć linki, zarejestruj się tutaj]

Kod:
Defined file type created: C:\ProgramData\3868341E525B886100003867FBBF919C\3868341E525B886100003867FBBF919C.exe\0b0a6e1fd95da6f03a650dfb889cbc62.exe Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\luafv\Start = 00000004 Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\wuauserv\Start = 00000004 Defined registry AutoStart location created or modified: user\current\software\Microsoft\Windows\CurrentVersion\RunOnce\3868341E525B886100003867 Security Center settings change: machine\software\microsoft\security center\antivirusdisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\antivirusoverride = 00000001 Security Center settings change: machine\software\microsoft\security center\firewalldisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\firewalloverride = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\antivirusdisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\antivirusoverride = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\firewalldisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\firewalloverride = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\updatesdisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\updatesdisablenotify = 00000001 Slept over 2 minutes System Restore change: machine\software\microsoft\windows nt\currentversion\systemrestore\rpsessioninterval = empty value key Internet connection: C:\Users\tachion\Desktop\0b0a6e1fd95da6f03a650dfb889cbc62.exe Connects to "175.41.29.181" on port 80 (TCP - HTTP)

[Aby zobaczyć linki, zarejestruj się tutaj]

Conor29134 · 16.05.2013, 20:29

tachion napisał(a): Fakeav_System Care Antivirus

należący do rodziny WinWebSec

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Aby zobaczyć linki, zarejestruj się tutaj]

Kod:
Defined file type created: C:\ProgramData\3868341E525B886100003867FBBF919C\3868341E525B886100003867FBBF919C.exe\0b0a6e1fd95da6f03a650dfb889cbc62.exe Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\luafv\Start = 00000004 Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\wuauserv\Start = 00000004 Defined registry AutoStart location created or modified: user\current\software\Microsoft\Windows\CurrentVersion\RunOnce\3868341E525B886100003867 Security Center settings change: machine\software\microsoft\security center\antivirusdisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\antivirusoverride = 00000001 Security Center settings change: machine\software\microsoft\security center\firewalldisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\firewalloverride = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\antivirusdisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\antivirusoverride = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\firewalldisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\firewalloverride = 00000001 Security Center settings change: machine\software\microsoft\security center\svc\updatesdisablenotify = 00000001 Security Center settings change: machine\software\microsoft\security center\updatesdisablenotify = 00000001 Slept over 2 minutes System Restore change: machine\software\microsoft\windows nt\currentversion\systemrestore\rpsessioninterval = empty value key Internet connection: C:\Users\tachion\Desktop\0b0a6e1fd95da6f03a650dfb889cbc62.exe Connects to "175.41.29.181" on port 80 (TCP - HTTP)

Rising-0/3 -wysłane do labu
Arcavir 0/3 - nie chce mi sie wysyłać tak szczerze Cool

**zord** · 16.05.2013, 20:39

tachion napisał(a): Fakeav_System Care Antivirus

należący do rodziny WinWebSec

Treść widoczna jedynie dla zarejestrowanych użytkowników

Symantec Endpoint Protection 12.1

wszystkie 3 po uruchomieniu SONAR.RogueAV!gen1

Anonymous Network · 16.05.2013, 20:45

Anonymous Network napisał(a): NEW: Trojan.Beebone.D / Worm.Win32.Vobfus.dvmg

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Aby zobaczyć linki, zarejestruj się tutaj]

fresh, now analyze

check scan ? Smile

jasiekkidawa · 16.05.2013, 20:52

tachion napisał(a): Fakeav_System Care Antivirus

należący do rodziny WinWebSec

Treść widoczna jedynie dla zarejestrowanych użytkowników

KIS 2013:

3/3

Conor29134 · 16.05.2013, 20:55

Fake Twiter

Treść widoczna jedynie dla zarejestrowanych użytkowników

ArcaVir - Heur win32
Rising-0/1 wysłane do labu

jasiekkidawa · 16.05.2013, 21:02

Conor29134 napisał(a): Fake Twiter

Treść widoczna jedynie dla zarejestrowanych użytkowników

KIS 2013:

- wykrywa i usuwa po odpaleniu ----> PDM:Trojan.Win32.StartPage.a

**tachion** · 16.05.2013, 21:06

Anonymous Network napisał(a):NOWOŚĆ: Trojan.Beebone.D / Worm.Win32.Vobfus.dvmg

No wygląda na Win32/Vobfus ,zmienia atrybuty plików,kopiuje nazwy plików które są na dysku i o takich samych nazwach się replikuje,infekuje również dyski przenośne.

Kod:
Created process: C:\Users\tachion\fofof.exe, "C:\Users\tachion\fofof.exe" , C:\Users\tachion\Downloads\12 sales summary

Created process: C:\Users\tachion\kkcaar.exe, "C:\Users\tachion\kkcaar.exe" , C:\Users\tachion\Downloads\12 sales summary

Created process: C:\Users\tachion\runme.exe, "C:\Users\tachion\runme.exe" , C:\Users\tachion\Downloads\12 sales summary

Defined Autostart file created: I:\autorun.inf

Defined file type created: C:\Users\tachion\fofof.exe

Defined file type created: C:\Users\tachion\kkcaar.exe

Defined file type created: C:\Users\tachion\runme.exe

File copied itself

Got input locale identifiers

Got system default language ID

Got user name information

Got volume information

Hid file from user: C:\Users\tachion\kkcaar.exe

Hid file from user: I:\autorun.inf

Hid file from user: I:\kkcaar.exe

Internet connection: C:\Sandbox\tachion\DefaultBox\user\current\fofof.exe Connects to "60.173.9.6" on port 2323 (TCP)

Internet connection: C:\Users\tachion\Downloads\12 sales summary\12 sales summary.exe Connects to "111.73.46.133" on port 2323 (TCP)

Microsoft Windows Update change: machine\software\policies\microsoft\windows\windowsupdate\au\noautoupdate = 00000001

Queried DNS: 18243.z0dns.com

Treść widoczna jedynie dla zarejestrowanych użytkowników

Conor29134 · 16.05.2013, 21:08

Szkodliwy adres

Treść widoczna jedynie dla zarejestrowanych użytkowników

rising ładnie blokuje jako exploit strona zhackowana po zablokowaniu chromium informuje że szkodliwa strona

Twoja stara · 16.05.2013, 21:21

tachion napisał(a): Trojan.Mods.1 lub jak kto woli Trojan.RedirectENT.140

Nawiązujący do tematu:

[Aby zobaczyć linki, zarejestruj się tutaj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avast wykrywa

Dodano: 16 maja 2013, 22:11

Anonymous Network napisał(a): NEW: Trojan.Beebone.D / Worm.Win32.Vobfus.dvmg

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Aby zobaczyć linki, zarejestruj się tutaj]

Avast nie wykrywa

Dodano: 16 maja 2013, 22:13

tachion napisał(a): Fakeav_System Care Antivirus

należący do rodziny WinWebSec

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avast - 0/3

Dodano: 16 maja 2013, 22:15

Conor29134 napisał(a): Fake Twiter

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avast nie wykrywa

Dodano: 16 maja 2013, 22:21

HTML:Iframe-ZG [Trj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

**tachion** · 16.05.2013, 21:33

Conor29134 napisał(a):Adres Szkodliwy

The socket connection to

[Aby zobaczyć linki, zarejestruj się tutaj]

failed. (148.81.111.111:80 )
ErrorCode: 10060.

Był kiedyś na tej stronie iframe który przekierowywał na inne stony.
Wszystkie strony zakażone posiadały taki iframe
<iframe style="height:1px" src="http://www.Brenz.pl/rc/” frameborder=0 wid..

Conor29134 · 16.05.2013, 21:35

Twoja stara napisał(a):
Dodano: 16 maja 2013, 22:21

HTML:Iframe-ZG [Trj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

Nic mi nie pobiera sie ani nie ładują skrypty javy

tachion a potrafisz zanalizować wtyczki do chroma ? ponieważ w tym "tweeterze" jest dodatek adobe.crx

morphiusz · 16.05.2013, 21:43

Conor29134 napisał(a):Szkodliwy adres

Treść widoczna jedynie dla zarejestrowanych użytkowników
rising ładnie blokuje jako exploit strona zhackowana po zablokowaniu chromium informuje że szkodliwa strona

[Aby zobaczyć linki, zarejestruj się tutaj]

Zaloguj się
Login:
Hasło:	Nie pamiętam hasła
	Zapamiętaj mnie