VT Detection ratio: 4 / 48 EjJT8GS.exe 破坏安全中心 锁屏之后添加启动项

墨家小子

看不到SSF拦截启动项就被锁屏了，中了的话，用DaRT进入系统，删除锁屏马添加的启动项就好了。

svchost被木马修改联网之后，C:\Users\XXXXXX\AppData\Local\Temp文件夹中会出现一个EjJT8GS.dll，想要运行的话按照下面的

regsvr32.exe "C:\Users\Spyshelter\Desktop\EjJT8GS.exe"



https://www.virustotal.com/en/fi ... nalysis/1381112991/

hddu

2013-10-07 12:47:42    运行应用程序      操作:允许
进程路径:F:\virus\EjJT8GS\EjJT8GS.exe
文件路径:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2013-10-07 12:47:52    创建注册表值      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:qcgce2mrvjq91kk1e7pnbb19m52fx
触发规则:应用程序规则->系统程序(一)->%windir%\system32\svchost.exe->*\Run*


2013-10-07 12:47:52    创建注册表值      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Command Processor
注册表名称:AutoRun
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Command Processor*


2013-10-07 12:47:52    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表名称:Shell
触发规则:应用程序规则->WinLogon设置->?:\*->HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

墨家小子

hddu 发表于 2013-10-7 13:35
不能用，有空求MD欺负欺负。

MD确实牛掰啊，看最后一步已经锁屏了，md弹出拦截

jayavira

上报卡巴

墨家小子

jayavira 发表于 2013-10-7 10:49
上报卡巴

开交互模式试试包你满意

jayavira

墨家小子 发表于 2013-10-7 10:51
开交互模式试试包你满意

我这台新电脑还没有安装沙盘呢
等我安装沙盘后，再来双击

电影结束了

开着SD被锁。。。
反正摄像头被启动了。。。
留楼吧。。。吃好饭实机看看COMODO沙盘有没有拦截

墨家小子

jayavira 发表于 2013-10-7 10:55
我这台新电脑还没有安装沙盘呢
等我安装沙盘后，再来双击

沙盘里能对系统有什么作用，捉急啊

剑步如飞

ESET miss

jayavira

墨家小子 发表于 2013-10-7 11:02
沙盘里能对系统有什么作用，捉急啊

至少有一定的保护作用

墨家小子

电影结束了 发表于 2013-10-7 11:02
开着SD被锁。。。
反正摄像头被启动了。。。
留楼吧。。。吃好饭实机看看COMODO沙盘有没有拦截[: ...

沙盘又不会拦截锁屏，关键是能不能拦截到添加启动项，要是锁屏之后能拦截到那才算oh yeah，知道不

电影结束了

jayavira 发表于 2013-10-7 11:04
至少有一定的保护作用

我都怀疑这玩意能不能在沙盘里运行起来。。。