不象是病毒,却挑战了操作系统和安全软件

长江龙

抢写自身启动,禁用一些关键功能....这些就够头大了,拿去试试吧,研究破解



PS:后面的其实不用再研究了,看了你们运行的结果,报毒的和提示杀的,包括上报党的,这些都是小事,
   
    我想说的是:本程序还只是个玩具,标题里就说了,如果你们细心的话,应该安全模式也去不了了,这块
   
  就是挑战操作系统去了,还有什么XXX士;xxxx士,不是有拦截功能吗?xx防御等.....都哑巴了.

   吹吧.....这点本事都没学好,还谈什么未来---收费什么的,哎.....

本程序有自动修复功能,能把系统弄成这样,肯定能把系统修复好,未来的发展还很大,蓝屏后再想在系统里写点什么就很容易了.....

修复功能

眼看胡乱弄的太多,我公布谜底吧,本程序在操作系统里只做了3件事,就这点东西就检验了一些号称很牛的安全

软件,这里要说的是,禁止本程序也好,报病毒的也好,都是管闲事和炫耀自己的,只有卡巴报的是程序真实东西,的

确只报了壳,解不开壳当然就不知道里面是什么了,总比那些乱报的好,如果有兴趣的,等几天我尽量把程序写完善,

到时候再来和你们交流,前提是:一样不会是病毒.

1.抢写自身启动项 2.关闭任务管理器; 3.删除安全模式

按F5可以退出并修复上述功能,手动删除启动项即可.

用户名不存在

http://camas.comodo.com/cgi-bin/ ... 8562e7dddbabf2e3691

这个是软件的界面，还是真的蓝屏啊？Comodo虽然拦截了动作最终还是变成这样了，按键全部失去作用，无法调出任务管理器（CU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskmgr这个键规则有保护），但看着不像蓝屏

重测补充：可以调出任务管理器结束进程，上次是虚拟机操作问题

a256886572008

2011-07-10 01:48:46   C:\Documents and Settings\Roger\桌面\VIRUS\挑战系统和安全软件\挑战系统和安全软件.exe   Sandboxed As   Partially Limited   

2011-07-10 01:48:47   C:\Documents and Settings\Roger\Local Settings\Temp\~temp.vbs   Sandboxed As   Partially Limited   

2011-07-10 01:48:48   C:\Documents and Settings\Roger\桌面\VIRUS\挑战系统和安全软件\挑战系统和安全软件.exe   Modify Key   HKUS\S-1-5-21-1214440339-1682526488-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Policies\System   

2011-07-10 01:48:54   C:\Documents and Settings\Roger\Local Settings\Temp\~temp.vbs   Modify Key   HKUS\S-1-5-21-1214440339-1682526488-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Policies\System   

2011-07-10 01:48:54   C:\Documents and Settings\Roger\桌面\VIRUS\挑战系统和安全软件\挑战系统和安全软件.exe   Modify Key   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\挑战系统和安全软件.exe  

我的情況是，task manager 可以調用出來，鼠標無法動，但是task manager 可結束他的進程。

用默認規則開sandbox。

吐出腳本寫註冊表，comodo 有繼承規則 就不怕。


-----------------------------
comodo 雲查殺

2011-07-10 07:47:45   c:\documents and settings\roger\桌面\virus\挑战系统和安全软件\挑战系统和安全软件.exe   .Heur.Suspicious@1   Remove   Success

zhousulin5

自用MD规则实机测试，秒杀，啥事都没有。

2011-7-10 02:29:33    修改注册表值    阻止并结束进程
进程: e:\规则测试\挑战系统和安全软件\挑战系统和安全软件.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskmgr
值: 0x00000001(1)
规则: [应用程序]?:\*\*.exe -> [注册表组]高风险项

dengcc

a2报了

绅博周幸

金山安全

hddu

2011-07-10 07:19:18    创建注册表值      操作:使用任务隔离区操作
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
注册表名称:DisableTaskmgr
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*


2011-07-10 07:19:18    模拟键盘鼠标      操作:阻止
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe

触发规则:所有程序规则->*


2011-07-10 07:19:18    运行应用程序      操作:允许
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
文件路径:C:\WINDOWS\system32\wscript.exe
命令行:"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~temp.vbs"
触发规则:所有程序规则->系统程序设置->%windir%\system32\*script.exe


2011-07-10 07:19:19    创建注册表值      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
注册表名称:DisableTaskMgr
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*


2011-07-10 07:19:22    创建注册表值      操作:阻止
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:挑战系统和安全软件.exe
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2011-07-10 07:19:22    删除注册表      操作:使用任务隔离区操作
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\AppMgmt
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2011-07-10 07:19:22    删除注册表      操作:使用任务隔离区操作
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\AppMgmt
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2011-07-10 07:19:22    删除注册表      操作:使用任务隔离区操作
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\AppMgmt
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2011-07-10 07:19:22    删除注册表      操作:使用任务隔离区操作
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\AppMgmt
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2011-07-10 07:19:22    删除注册表      操作:使用任务隔离区操作
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\AppMgmt
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2011-07-10 07:19:22    删除注册表      操作:使用任务隔离区操作
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\AppMgmt
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2011-07-10 07:19:22    删除注册表      操作:使用任务隔离区操作
进程路径:F:\virus\挑战系统和安全软件\挑战系统和安全软件.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\AppMgmt
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*

jayavira

to eset

http://samples.nod32.com.hk/inde ... 6f74793f0c268d62058

入库

D:\下载文件夹\挑战系统和安全软件.rar > RAR > 挑战系统和安全软件.exe - Win32/Autoit.NIY 特洛伊木马

liulangzhecgr

2011-7-10 07:37:25    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\挑战系统和安全软件\挑战系统和安全软件.exe
命令行: "E:\Downloads\挑战系统和安全软件\挑战系统和安全软件.exe"
规则: [应用程序]*

2011-7-10 07:37:25    创建注册表项    阻止
进程: e:\downloads\挑战系统和安全软件\挑战系统和安全软件.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
规则: [注册表]*

2011-7-10 07:39:07    底层键盘操作    允许
进程: e:\downloads\挑战系统和安全软件\挑战系统和安全软件.exe
规则: [应用程序]*

2011-7-10 07:39:15    创建文件    允许
进程: e:\downloads\挑战系统和安全软件\挑战系统和安全软件.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~temp.vbs
规则: [文件组]所有执行文件 -> [文件]*; *.vbs

2011-7-10 07:39:15    修改注册表值    阻止
进程: e:\downloads\挑战系统和安全软件\挑战系统和安全软件.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\System32\WScript.exe
值: Microsoft (R) Windows Based Script Host
规则: [注册表]*

2011-7-10 07:39:22    创建新进程    允许
进程: e:\downloads\挑战系统和安全软件\挑战系统和安全软件.exe
目标: c:\windows\system32\wscript.exe
命令行: "C:\WINDOWS\System32\WScript.exe" "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~temp.vbs"
规则: [应用程序]*

2011-7-10 07:39:23    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-7-10 07:41:04    修改注册表值    阻止
进程: e:\downloads\挑战系统和安全软件\挑战系统和安全软件.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\挑战系统和安全软件.exe
值: E:\Downloads\挑战系统和安全软件\挑战系统和安全软件.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2011-7-10 07:41:11    删除注册表项    阻止
进程: e:\downloads\挑战系统和安全软件\挑战系统和安全软件.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\AppMgmt
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\*

蓝屏 ？！(2#情况出现)

2011-7-10 07:41:56    创建新进程    允许
进程: c:\windows\system32\winlogon.exe
目标: c:\windows\system32\taskmgr.exe
命令行: taskmgr.exe
规则: [应用程序]*

2011-7-10 07:41:58    底层键盘操作    允许
进程: e:\downloads\挑战系统和安全软件\挑战系统和安全软件.exe
规则: [应用程序]*

不该允许的 。。。？！

2011-7-10 07:42:03    向其他进程发送消息    允许
进程: c:\windows\system32\taskmgr.exe
目标: c:\windows\explorer.exe
消息: WM_GETICON
规则: [应用程序]*

死机。。。 ！

wqcaokeyinwq

实机测试。。。。。。。。
还没有开始下载...红伞实时监控就秒了。。。。。。。。
对于恶意的病毒代码。。。。红伞永远都是那么出色。。。。。。。。