求单开毛豆hips测试一下这个样本

显示全部楼层 · 发表于 2014-1-4 11:36:46

样本地址：http://bbs.kafan.cn/thread-1653283-1-1.html

有测试过的，说是拦截到对explorer的注入，但重启后锁屏

显示全部楼层 · 发表于 2014-1-4 14:13:47

小白路过点了下。放行对explorer内存的访问，explorer重启。。。一切正常，提供部分日志

显示全部楼层 · 发表于 2014-1-4 14:33:20

qq5150 发表于 2014-1-4 14:13
小白路过点了下。放行对explorer内存的访问，explorer重启。。。一切正常，提供部分日志

你是什么系统？能不能对照一下测试前后启动项，看看有无异常？

@hqhxzly

显示全部楼层 · 发表于 2014-1-4 14:43:47

墨家小子发表于 2014-1-4 14:33
你是什么系统？能不能对照一下测试前后启动项，看看有无异常？

@hqhxzly

win7 64位，启动项没异常

显示全部楼层 · 发表于 2014-1-4 14:45:23

qq5150 发表于 2014-1-4 14:43
win7 64位，启动项没异常

一想就是64位的

显示全部楼层 · 发表于 2014-1-4 14:47:38

墨家小子发表于 2014-1-4 14:45
一想就是64位的

soga。。。看来64位很安全

显示全部楼层 · 发表于 2014-1-4 14:49:17

qq5150 发表于 2014-1-4 14:47
soga。。。看来64位很安全

谁用32位系统的毛豆测试一下就好了

显示全部楼层 · 发表于 2014-1-4 14:53:37

本帖最后由 hqhxzly 于 2014-1-4 14:55 编辑

昨天晚上，32位xp系统测试的，我清清楚楚的看到在
C:\Documents and Settings\Administrator\Start Menu\Programs\Startup启动里有个others.exe

显示全部楼层 · 发表于 2014-1-4 15:06:07

hqhxzly 发表于 2014-1-4 14:53
昨天晚上，32位xp系统测试的，我清清楚楚的看到在
C:\Documents and Settings\Administrator\Start Menu\P ...

还应该有这个吧
HKEY_USERS\S-1-5-21-3475512096-2013905584-3343414089-1001\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\shell

显示全部楼层 · 发表于 2014-1-4 15:08:47

墨家小子发表于 2014-1-4 15:06
还应该有这个吧
HKEY_USERS\S-1-5-21-3475512096-2013905584-3343414089-1001\Software\Microsoft\Windo ...

有，只是手机党记不住准确位置了

楼上测试，没见到这两个位置的保护日志啊

[求助] 求单开毛豆hips测试一下这个样本