一个样本。切勿实机。

显示全部楼层 · 发表于 2017-8-27 15:29:58

微点拦截

显示全部楼层 · 发表于 2017-8-27 17:03:23

左手发表于 2017-8-27 12:49
好像没有问题吧。
我是实机。
记事本已系统替换成了notepad+

0012FF5C 0012FFA8  |pSecurity = 0012FFA8
0012FF60 00000003  |InitialCount = 3
0012FF64 00000004  |MaximumCount = 4
0012FF68 004A9D4E  \SemaphoreName = "LtkC3"

Virut，赶紧医治电脑吧，乘着没做啥事感染的少，这病毒虚拟机会跳过病毒代码执行流程

显示全部楼层 · 发表于 2017-8-27 17:06:31

BD扫描杀，运行没有反应

显示全部楼层 · 发表于 2017-8-27 20:02:48

显示全部楼层 · 发表于 2017-8-27 21:08:28

专业路过发表于 2017-8-27 17:03
0012FF5C 0012FFA8 |pSecurity = 0012FFA8
0012FF60 00000003 |InitialCount = 3
0012FF64 000 ...

改名后，运行
2017-8-27 21:08:02 修改其他进程的内存危险等级:高阻止并结束进程
进程: c:\documents and settings\administrator\桌面\aa.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序组]a082_《行为防御》_自动运行 -> [应用程序]c:\documents and settings\*\* -> [目标应用程序]?:\windows\system32\winlogon.exe

显示全部楼层 · 发表于 2017-8-27 22:41:04

显示全部楼层 · 发表于 2017-8-27 23:39:31

左手发表于 2017-8-27 21:08
改名后，运行
2017-8-27 21:08:02 修改其他进程的内存危险等级:高阻止并结束进程
进程: c:\doc ...

virut都是注入这个进程

显示全部楼层 · 发表于 2017-8-28 07:08:14

卡巴直接秒杀，，实机测试过不了墙

显示全部楼层 · 发表于 2017-8-28 07:08:33

本帖最后由 greenfinger168 于 2017-8-28 07:20 编辑

拦截

放行后解压

显示全部楼层 · 发表于 2017-8-28 11:07:24

[病毒样本] 一个样本。切勿实机。

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源