Wipe MBR

显示全部楼层 · 发表于 2014-8-29 20:14:36

本帖最后由深山红叶__ 于 2014-9-3 22:43 编辑

For MBR,not GPT.
Filled with 00.

createfile()
setfilepointer()
writefile()
closehandle()
rtladjustprivilege()
rtlsetprocessiscritical()
end

VERY OLD THING.
I don't want to see ANY SB here.Maybe one SB's sockpuppet has been here.

显示全部楼层 · 发表于 2014-8-29 20:17:21

本帖最后由蓝天二号于 2014-8-29 20:21 编辑

好像沙箱里跑不起来，，，，，，

显示全部楼层 · 发表于 2014-8-29 20:19:08

拦截后蓝屏了

显示全部楼层 · 发表于 2014-8-29 20:29:01

蓝天二号发表于 2014-8-29 20:17
好像沙箱里跑不起来，，，，，，

Fire eye?
http://fireeye.ijinshan.com/anal ... d70&type=1#full

显示全部楼层 · 发表于 2014-8-29 20:29:47

KSOS

显示全部楼层 · 发表于 2014-8-29 20:30:58

火绒扫描 miss

显示全部楼层 · 发表于 2014-8-29 20:31:26

本帖最后由流年在消逝于 2014-8-29 20:36 编辑

avast
eam
火绒 miss
360云鉴定转人工

显示全部楼层 · 发表于 2014-8-29 20:32:49

深山红叶__ 发表于 2014-8-29 20:29
Fire eye?
http://fireeye.ijinshan.com/analyse.html?md5=069a0927e5fcfa27ccfea1403e7a76f9&sha1=4509 ...

难怪跑不起来，，，，，

显示全部楼层 · 发表于 2014-8-29 20:34:52

liulangzhecgr 发表于 2014-8-29 20:30
火绒扫描 miss

Come on.
Active defense will work well.

显示全部楼层 · 发表于 2014-8-29 20:36:22

2014-8-29 20:34:44 C:\WINDOWS\system32\dumprep.exe 启动新应用程序 C:\WINDOWS\system32\dwwin.exe 已阻止 004.仅禁运
2014-8-29 20:34:40 C:\WINDOWS\explorer.exe 获取文件访问权 C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe 阻止一些访问自我保护: 保护 ESET 文件写入到文件
2014-8-29 20:34:40 C:\WINDOWS\ime\IMJP8_1\imjpmig.exe 修改注册表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Startup 已阻止 038.Common Startup
2014-8-29 20:34:40 C:\WINDOWS\ime\IMJP8_1\imjpmig.exe 修改注册表 HKEY_USERS\S-1-5-21-1229272821-1343024091-1060284298-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{28ae6180-1289-11e4-b5b5-806d6172696f}\BaseClass 已阻止 040.MountPoints2
2014-8-29 20:34:40 C:\WINDOWS\ime\IMJP8_1\imjpmig.exe 修改注册表 HKEY_USERS\S-1-5-21-1229272821-1343024091-1060284298-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{28ae6182-1289-11e4-b5b5-806d6172696f}\BaseClass 已阻止 040.MountPoints2
2014-8-29 20:34:40 C:\WINDOWS\ime\IMJP8_1\imjpmig.exe 修改注册表 HKEY_USERS\S-1-5-21-1229272821-1343024091-1060284298-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup 已阻止 038.Common Startup
2014-8-29 20:34:17 C:\Documents and Settings\chemop\桌面\Wipe MBR.exe 直接访问磁盘 \\.\Harddisk0\DR0 已阻止 018.直接访问磁盘

[病毒样本] Wipe MBR

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源