[rezolvat] Virtumonde/vundo ?!

Sm3K3R

Am descoperit recent o chestie foarte ciudata.Probabil e vorba de ceva versiune noua Trojan Vundo Virtumonde

Alertele care m-au pus pe ganduri au fost generate de Outpost si se refera la

->

EXPLORER.EXE OLE automation control \RPC Control\OLEBF341FD8325A45DAA9A2E54EC97A

->

WINLOGON.EXE OLE automation control \RPC Control\OLEBF341FD8325A45DAA9A2E54EC97A

dar si la -> ONLINECMDLINESCANNER.EXE (prevx )OLE automation control \RPC Control\OLEBF341FD8325A45DAA9A2E54EC97A oarecum legitim

Fisierul caracteristic winzoa32.dll (caracteristic din cate am inteles Virtumonde) se gasea in X:\Documents and Settings\"USER"\My Documents\My Pictures ,o locatie care sigur nu e normala.

Fisierul winzoa32.dll se regaseste arhivat pe sendspace ,si nu e detectat de nici un antivirus in virustotal ca fiind malware -> <link șters>

De asemenea exista o referinta catre fisier in calea bifata cu X Exista de asemenea Dwordul ,in ambele foldere bifate,OLEBF341FD8325A45DAA9A2E54EC97A

Nu exista pop-upuri specifice rogue ,dar exista hickupuri ocazionale prin desktop si lag spikes in aplicatii 3D.Alertele Outpost apareau uzual cand o aplicatie 3D era full screen.

alexcrist

Mulțumim pentru sample, Sm3K3R.

Însă este o mică problemă cu fișierul atașat de tine. Nu este nici pe departe un fișier DLL acela, ci este un screenshot BMP (cu extensie greșită). Din câte îmi dau seama, este screenshotul complet (din care ai copiat fereastra pe care ai postat-o mai sus). Faptul că se afla în My Pictures este probabil explicat de faptul că este o poză (probabil ai salvat-o cu nume greșit).

Linkul din postul tău l-am șters înainte să verific dacă este OK fișierul. Dacă mai ai nevoie de el, ți-l pot da.

Te rog să arhivezi din nou sampleul, dacă îl mai ai.

De asemenea, există 2 reguli:

1) sampleurile se arhivează cu parolă, pentru a preveni coruperea datelor (cu parola infected)

2) nu se postează pe forumul public linkuri la fișiere posibil malițioase, din cauza riscului pe care îl presupun pentru alți useri curioși. Te rog să-mi trimiți pe PM linkul de download.

Cris.