两个勒索，一个可疑

显示全部楼层 · 发表于 2016-10-18 21:45:58

avast7 3x

显示全部楼层 · 发表于 2016-10-18 21:56:58

skyboybone 发表于 2016-10-18 21:44
既然被慷慨大方的楼主加了rq，我就再开一楼
余下那个双击是这样的，不知道有没有漏

不错不错
不过这个注入在山山这里怎么显示自己注入自己

显示全部楼层 · 发表于 2016-10-18 22:05:08

本帖最后由聆听落雨于 2016-10-18 22:18 编辑

dongwenqi 发表于 2016-10-18 21:14
卡巴杀2个

KES是三个，不用怀疑。

显示全部楼层 · 发表于 2016-10-18 22:13:27

windows7爱好者发表于 2016-10-18 21:56
不错不错
不过这个注入在山山这里怎么显示自己注入自己

不是山山显示错误，样本其实就是在注入自身创建的进程

显示全部楼层 · 发表于 2016-10-18 22:14:44

vm001 发表于 2016-10-18 22:13
不是山山显示错误，样本其实就是在注入自身创建的进程

为什么，目的在哪

显示全部楼层 · 发表于 2016-10-18 22:27:02

windows7爱好者发表于 2016-10-18 22:14
为什么，目的在哪

提权是一个目的，另外就是这样创建了双进程，当遇到杀软拦截的时候，杀软只能结束一个进程，另一个就还会在内存中运行

显示全部楼层 · 发表于 2016-10-18 22:31:56

vm001 发表于 2016-10-18 22:27
提权是一个目的，另外就是这样创建了双进程，当遇到杀软拦截的时候，杀软只能结束一个进程，另一个就还会 ...

学习了。这样行为就隐蔽了吧？

显示全部楼层 · 发表于 2016-10-18 22:32:30

vm001 发表于 2016-10-18 22:27
提权是一个目的，另外就是这样创建了双进程，当遇到杀软拦截的时候，杀软只能结束一个进程，另一个就还会 ...

注入自己的进程可以提权？
难道不是系统进程

显示全部楼层 · 发表于 2016-10-18 22:34:06

测试一下大360.。
近期的发现啥360防护悄悄地关闭了，还是wd神奇了
开着360防护直接白wd杀了

重启机器测试
第一个直接报毒

第二个拦截启动项

阻止所有操作以后，修改文档行为被自动拦截

重新测试不选择阻止所有，可以看到拦截文档的篡改

结果文档的原本已经被360复制出来，说明拦截成功

第三个样本测试

下面这个拦截就是拦截其注入自身创建的进程

选择允许其注入

行为直接报毒

显示全部楼层 · 发表于 2016-10-18 22:35:04

skyboybone 发表于 2016-10-18 22:31
学习了。这样行为就隐蔽了吧？

也算是吧

[病毒样本] 两个勒索，一个可疑

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分