Paczki, malware, złośliwe pliki, linki itp.

[tachion]

ponieważ w tym "tweeterze" jest dodatek adobe.crx

no jest chwila

+ C:\ProgramData\Adobe\adobe.crx
+ C:\ProgramData\Adobe\komut.cmd
+ C:\ProgramData\Adobe\update.xml

GET /ws/2/thread/246141847? HTTP/1.1
Upgrade: websocket
Connection: Upgrade
Host: realtime.services.disqus.com
Origin:

[Aby zobaczyć linki, zarejestruj się tutaj]

Pragma: no-cache
Cache-Control: no-cache
Sec-WebSocket-Key: lK6qSuzQVvaTGpgmQi8rxA==
Sec-WebSocket-Version: 13
Sec-WebSocket-Extensions: x-webkit-deflate-frame
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/27.0.1453.73 Safari/537.36

Kod:

machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\DisplayName = Twitter 11.0
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\DisplayVersion = 11.0
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\VersionMajor = 0000000B
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\Publisher = Twitter
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\DisplayIcon = C:\Program Files\Twitter\Twitter\Uninstall.exe
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\UninstallString = C:\Program Files\Twitter\Twitter\Uninstall.exe
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\URLInfoAbout = http://www.twitter.com
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\InstallLocation = C:\Program Files\Twitter\Twitter\
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\InstallSource = C:\Users\tachion\Downloads\Twitter (2)\Twitter (2)\
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\InstallDate = 320030003100330030003500310036000000
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\Language = 0000041F
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\EstimatedSize = 0000002C
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\NoModify = 00000001
machine\software\microsoft\Windows\CurrentVersion\Uninstall\Twitter 11.0\NoRepair = 00000001
machine\software\Policies\Google\Chrome\ExtensionInstallForcelist\1 = klmfkladgfkicpnhcibocncmpbgfpbih;C:\ProgramData\Adobe\update.xml
machine\software\SnRToolbar\Macro\apn_dbr = cr_25.0.1364.97
machine\software\SnRToolbar\Macro\build = 35882
machine\software\SnRToolbar\Macro\cbid = ^A3
machine\software\SnRToolbar\Macro\cr-o = 31003000310035003100630072000000
machine\software\SnRToolbar\Macro\crumb = 32003000310033002E00300032002E00320036002B00300036002E00350033002E00350030002D0074006F006F006C006200610072003000310033006900610064002D00540052002D00530058004E00300059005700350069006400570077007300560048005600790061003200560035000000
machine\software\SnRToolbar\Macro\dtid = ^YYYYYY^YY^TR
machine\software\SnRToolbar\Macro\guid = 49DE15E3-9C47-4081-B3D1-50BB80C8BFDB
machine\software\SnRToolbar\Macro\hpr = YES
machine\software\SnRToolbar\Macro\if = first
machine\software\SnRToolbar\Macro\l = dis
machine\software\SnRToolbar\Macro\locale = en_US
machine\software\SnRToolbar\Macro\1.90 = 1.90
user\current\software\Microsoft\Internet Explorer\Main\Start Page = http://aramamekani.com/
ser\current\software\SnR\Updater\Chrome\Macro\apnurevision = 32000000
user\current\software\SnR\Updater\Chrome\Settings\cr-homepageurl = http://aramamekani.com/
user\current_classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache\C:\Users\tachion\Downloads\Twitter (2)\Twitter (2)\Twitter (2).exe = Twitter 11.0 Installation
user\current_classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache\C:\Windows\System32\taskkill.exe = KoDczy procesy

[Aby zobaczyć linki, zarejestruj się tutaj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Conor29134]

Podobne dane wyciągnałem przez COMODO instant malware analysis

[tachion]

Zbot

Treść widoczna jedynie dla zarejestrowanych użytkowników

Kelihos Hlux

Treść widoczna jedynie dla zarejestrowanych użytkowników

Zeroaccess Recycle.bin

Treść widoczna jedynie dla zarejestrowanych użytkowników

Ransomware urausy

Treść widoczna jedynie dla zarejestrowanych użytkowników

[myciu1974]

Zbot

Treść widoczna jedynie dla zarejestrowanych użytkowników

Kelihos Hlux

Treść widoczna jedynie dla zarejestrowanych użytkowników

Zeroaccess Recycle.bin

Treść widoczna jedynie dla zarejestrowanych użytkowników

Ransomware urausy

Treść widoczna jedynie dla zarejestrowanych użytkowników

Emsi wykrywa wszystko.

---

Dodano: 17 maja 2013, 6:26

2013-05-16-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

Emsi 589/603 (97,67%)

[Bergo]

2013-05-16-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

COMODO PRO 2012
433/603 (71,80%)

[Lue]

NEW: Trojan.Beebone.D / Worm.Win32.Vobfus.dvmg

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Aby zobaczyć linki, zarejestruj się tutaj]

fresh, now analyze

@spywar. wrrrr ... angry. Do not steal samples.!

Avira Free 1/1

Fakeav_System Care Antivirus

należący do rodziny WinWebSec

Avira Free 0/3

Fake Twiter

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avira Free nie wykrywa

Zbot

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avira Free 2/3

Kelihos Hlux

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avira Free 1/3

Zeroaccess Recycle.bin

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avira Free 3/3

Ransomware urausy

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avira Free 0/4

[tomatto007]

2013-05-17-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Lue]

2013-05-17-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avira Free 86/116=74,13%

[sibur]

2013-05-16-tomatto007.7z

Avira Antivirus Premium 2013( from downloads ) 418/585 = 71,45%
Emsisoft Emergency Kit( from downloads ) 412/585 = 70,42%

Avira Antivirus Premium 2013( from malware tests ) 12/18 = 66,66%
Emsisoft Emergency Kit( from malware tests ) 16/18 = 88,88%


Trojan.Mods.1 lub jak kto woli Trojan.RedirectENT.140( by tachion )
Avira Antivirus Premium 2013--> TR/Drop.Gepys.A.31
Emsisoft Emergency Kit--> Trojan.Win32.ShipUp (A)



NEW: Trojan.Beebone.D / Worm.Win32.Vobfus.dvmg ( by Anonymous Network )
Avira Antivirus Premium 2013--> TR/Symmi.16637.2
Emsisoft Emergency Kit--> Gen:Variant.Symmi.16637 (B)



Fakeav_System Care Antivirus( by tachion )
Avira Antivirus Premium 2013 nie wykrywa --> 0/3
Emsisoft Emergency Kit --> 3/3



Fake Twiter( by Conor29134 ) post#189
Avira Antivirus Premium 2013nie wykrywa
Emsisoft Emergency Kitnie wykrywa


Malware ( by tachion ) post#191
Avira Antivirus Premium 2013--> 2/3
Emsisoft Emergency Kit--> 1/3


Szkodliwy adres( by Conor29134 ) post#192
1st link is blocked by Avira Antivirus Premium 2013 --> Contains recognition pattern of the HTML/Infected.WebPage.Gen HTML script virus
2nd link is blocked by Opera as dangerous site


HTML:Iframe-ZG [Trj] ( by Twoja stara ) post#193
Blocked by Avira Antivirus Premium 2013 --> Contains recognition pattern of the HTML/Infected.WebPage.Gen3 HTML script virus

[rychciak]

Fake Twiter

Treść widoczna jedynie dla zarejestrowanych użytkowników

avast free 8 nie wykrywa
Malwarebytes Anti-Malware wykrywa

Zbot

Treść widoczna jedynie dla zarejestrowanych użytkowników

avast free 8 wykrywa 3/3

Kelihos Hlux

Treść widoczna jedynie dla zarejestrowanych użytkowników

avast 8 free wykrywa 3/3

Zeroaccess Recycle.bin

Treść widoczna jedynie dla zarejestrowanych użytkowników

avast free 8 0/3
Malwarebytes Anti-Malware3/3

2013-05-17-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

avast 8 free wykrywa 42/116=36%
Malwarebytes Anti-Malware wykrywa 80/116=68,96% ~ 69%

jeśli najpierw przeskanujemy paczkę avastem a później te niedobitki (to co zostanie nie usunięte) przeskanujemy Malwarebytes z paczki 116 plików zostaje 29

[sibur]

Zbot

Treść widoczna jedynie dla zarejestrowanych użytkowników

Kelihos Hlux

Treść widoczna jedynie dla zarejestrowanych użytkowników

Zeroaccess Recycle.bin

Treść widoczna jedynie dla zarejestrowanych użytkowników

Ransomware urausy

Treść widoczna jedynie dla zarejestrowanych użytkowników

Zbot( by tachion )
Avira Antivirus Premium 2013--> 2/3

Kelihos Hlux ( by tachion )
Avira Antivirus Premium 2013--> 1/3

Zeroaccess Recycle.bin( by tachion )
Avira Antivirus Premium 2013 --> 3/3

Ransomware urausy( by tachion )
Avira Antivirus Premium 2013--> 0/4

2013-05-17-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avira Antivirus Premium 2013( from downloads ) 64/89 = 71,91%
Emsisoft Emergency Kit ( from downloads ) 71/89 = 79,77%

Avira Antivirus Premium 2013( from malware tests ) 23/27 = 85,18%
Emsisoft Emergency Kit( from malware tests ) 24/27 = 88,88%

[myciu1974]

2013-05-17-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

Emsi 104/116 (89,65%)

[Twoja stara]

Z mojej starej skrzynki pocztowej:

Treść widoczna jedynie dla zarejestrowanych użytkowników

[tachion]

1.
The socket connection to 61.63.123.44 failed. <br />ErrorCode: 10060. <br />próba połączenia nie powiodła się, ponieważ połączona strona nie odpowiedziała poprawnie po ustalonym okresie czasu lub utworzone połączenie nie powiodło się, ponieważ połączony host nie odpowiedział 61.63.123.44:80

2.
The socket connection to 46.40.33.20 failed. <br />ErrorCode: 10060. <br />próba połączenia nie powiodła się, ponieważ połączona strona nie odpowiedziała poprawnie po ustalonym okresie czasu lub utworzone połączenie nie powiodło się, ponieważ połączony host nie odpowiedział 46.40.33.20:80

Wygląda na to że z ponad 3 tygodnie temu,na stronie było aktywne zagrożenie lub przekierowanie.

[kolon22]

AVG :

2013-05-17-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

88/116 (75,86%)


Fakeav_System Care Antivirus
3/3

Fake Twiter
nie wykrywa

Zbot

Treść widoczna jedynie dla zarejestrowanych użytkowników

3/3

Kelihos Hlux

Treść widoczna jedynie dla zarejestrowanych użytkowników

3/3

Zeroaccess Recycle.bin

Treść widoczna jedynie dla zarejestrowanych użytkowników

1/3

Ransomware urausy

Treść widoczna jedynie dla zarejestrowanych użytkowników

4/4

[demisen]

2013-05-15-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

Jak mam rozumieć wynik tego skanu ?(NANO Antivirus)

"from downloads"

[Aby zobaczyć linki, zarejestruj się tutaj]

[ELWIS1]

197/543 (36,27%)) NanoAV

[demisen]

No nie do końca chyba, bo TOTAL jest podzielone na files/objects, Infected to samo. Więc chyba 462/543.

[ELWIS1]

Downloads, masz 543 plików ogólnie
Usunął 197

[Aby zobaczyć linki, zarejestruj się tutaj]

[Twoja stara]

2013-05-15-tomatto007.7z

Treść widoczna jedynie dla zarejestrowanych użytkowników

Jak mam rozumieć wynik tego skanu ?(NANO Antivirus)

[Aby zobaczyć linki, zarejestruj się tutaj]