【虐杀MD第十发】【XP虚拟机专用】WIN32/64 ROOTKIT Necurs!!【接受死机的制裁吧！】

lifan88

2015年的东西，不要再来扫描了，扫描无意义



这个东西因为检测虚拟机，所以虚拟机运行后会死机（XP）

MD拦截死机操作失败

（实机可能会变成加载驱动，不会死机）


不知道这个是不是ROOTKIT，如果实机测试是的话请回复我，我做下标记。


注意注意！！！是XP！！！XP不知道怎么死机的

后缀名改成exe即可




再次PS：这货在虚拟机会使虚拟机死机（XP下），实机不敢测试，很大可能是加载驱动

lifan88

@liulangzhecgr @hddu @墨家小子 @C-FBI-QM @tg123321 @电脑发烧友 @左手 @pal家族

pal家族

蛐蛐这么说：



安全威脅:        Ransom_HPLOCKY.SM24
來源類型:        安全威脅
受影響的檔案:        D:\360安全浏览器下载\…\花式死机.ex
處理行動:        已移除
偵測方式:        即時掃瞄





斯基这么说：
Scan result        File is infected
Found threats        HEUR:Trojan.Win32.Generic
File size        137,00KB
File type        PE32/EXE
Date of scan        2017-02-08 17:45:39
Bases release date        2017-02-08 09:35:10 UTC
MD5        28cd0853c9a00c1de2a3ed24c18127cf
SHA1        10406d30efc51cf816344817a303fd68db211611
SHA256
ae41a40ba9b8936157e4589b1f3a730a1463bf099ee344885200ab5b54428f1c


我已经与双击测试无缘了！

lifan88

pal家族 发表于 2017-2-8 17:45
蛐蛐这么说：

兄弟，2015年的东西了，别扫描了

pal家族

lifan88 发表于 2017-2-8 17:47
兄弟，2015年的东西了，别扫描了

扫描是为了看看能不能双击呀。。。
我用的个两款都没法在入库情况下双击。
没法捧场啊！

lifan88

pal家族 发表于 2017-2-8 17:48
扫描是为了看看能不能双击呀。。。
我用的个两款都没法在入库情况下双击。
没法捧场啊！

GG

C-FBI-QM

我什么都不知道

tg123321

家里的那台老机子是单奔md，连个沙盒、影子都没有，你这么一说我有点怕啊

tg123321

@lifan88  已确认xp实机环境下未死机
2017-2-8 21:45:19    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\virustest\花式死机\花式死机.exe
命令行: "F:\virustest\花式死机\花式死机.exe"
规则: [应用程序]c:\windows\explorer.exe -> [子应用程序]?:\*.*

2017-2-8 21:45:19    加载动态链接库    允许
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\system32\imm32.dll
规则: [应用程序组]● 行为测试规则

2017-2-8 21:45:19    加载动态链接库    允许
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\system32\lpk.dll
规则: [应用程序组]● 行为测试规则

2017-2-8 21:45:19    加载动态链接库    允许
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\system32\usp10.dll
规则: [应用程序组]● 行为测试规则

2017-2-8 21:45:19    加载动态链接库    允许
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\winsxs\x86_microsoft.windows.common-controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
规则: [应用程序组]● 行为测试规则

2017-2-8 21:45:20    加载动态链接库    允许
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\system32\ws2_32.dll
规则: [应用程序组]● 行为测试规则

2017-2-8 21:45:20    加载动态链接库    允许
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\system32\ws2help.dll
规则: [应用程序组]● 行为测试规则

2017-2-8 21:45:20    加载动态链接库    允许
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\system32\dnsapi.dll
规则: [应用程序组]● 行为测试规则

2017-2-8 21:45:20    加载动态链接库    允许
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\system32\uxtheme.dll
规则: [应用程序组]● 行为测试规则

2017-2-8 21:45:33    修改注册表值    阻止
进程: f:\virustest\花式死机\花式死机.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Local AppData
值: C:\Documents and Settings\TerryTian\Local Settings\Application Data
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2017-2-8 21:45:38    创建文件夹    阻止
进程: f:\virustest\花式死机\花式死机.exe
目标: C:\WINDOWS\Installer\{E5690CCB-1FE1-52A6-EF92-2DC9CF0EA3D9}
规则: [应用程序组]● 行为测试规则 -> [文件组]◆ 系统目录保护（阻止） -> [文件]c:\windows\*

2017-2-8 21:45:43    修改文件    阻止
进程: f:\virustest\花式死机\花式死机.exe
目标: F:\virustest\花式死机\花式死机.exe
规则: [应用程序组]● 行为测试规则 -> [文件组]■ 所有执行文件（阻止） -> [文件]*; *.exe

2017-2-8 21:45:51    修改注册表值    阻止
进程: f:\virustest\花式死机\花式死机.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\F:\virustest\花式死机\花式死机.exe
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\*ControlSet*\Control\*

2017-2-8 21:45:51    加载动态链接库    允许
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\system32\apphelp.dll
规则: [应用程序组]● 行为测试规则

2017-2-8 21:45:57    创建新进程    阻止
进程: f:\virustest\花式死机\花式死机.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /C del /Q /F "F:\virustest\花式死机\花式死机.exe"
规则: [应用程序组]● 行为测试规则

lifan88

tg123321 发表于 2017-2-8 21:46
@lifan88  已确认xp实机环境下未死机
2017-2-8 21:45:19    创建新进程    允许
进程: c:\windows\ ...

这货已经搞炸我多少次虚拟机了。。。