神秘文件

显示全部楼层 · 发表于 2017-9-14 11:00:11

卡巴
lsmose.exe_ - Trojan.Win64.BitMiner.vi

显示全部楼层 · 发表于 2017-9-14 18:22:33

本帖最后由 kxmp 于 2017-9-14 18:27 编辑

学雷锋做人发表于 2017-9-14 07:34
在下载文件方面早就实现全面监控，但是它在我这的测试环境下没这么做，你叫我怎么办？

再比如它下载文 ...

lsmose在c:\windows\help\ 里面
然后其他几个在当前目录下面

显示全部楼层 · 发表于 2017-9-14 19:08:18

kxmp 发表于 2017-9-14 18:22
lsmose在c:\windows\help\ 里面
然后其他几个在当前目录下面

首先分析的是32a.exe，只看到两个写出的文件，前面行为日志里面也有，然后在当前目录没有发现其他文件，你可以自行测试看看

显示全部楼层 · 发表于 2017-9-14 22:00:52

学雷锋做人发表于 2017-9-14 19:08
首先分析的是32a.exe，只看到两个写出的文件，前面行为日志里面也有，然后在当前目录没有发现其他文件， ...

他应该是反虚拟化的

显示全部楼层 · 发表于 2017-9-15 16:31:39

kxmp 发表于 2017-9-14 22:00
他应该是反虚拟化的

那不至于就单单下载文件没有跑出来，其他很多行为都不会显示

显示全部楼层 · 发表于 2017-9-15 17:22:54

学雷锋做人发表于 2017-9-15 16:31
那不至于就单单下载文件没有跑出来，其他很多行为都不会显示

那说明他是精心设计的

显示全部楼层 · 发表于 2017-9-15 18:14:24

kxmp 发表于 2017-9-15 17:22
那说明他是精心设计的

不会，如果你坚持你的观点就拿出证明

显示全部楼层 · 发表于 2017-9-15 19:58:29

学雷锋做人发表于 2017-9-15 18:14
不会，如果你坚持你的观点就拿出证明

其他附件就是我跑出来的啊.. 你以为他哪里来的...

显示全部楼层 · 发表于 2017-9-15 19:59:46

kxmp 发表于 2017-9-15 19:58
其他附件就是我跑出来的啊.. 你以为他哪里来的...

32a.exe 没有这个下载文件行为，OK？

显示全部楼层 · 发表于 2017-9-15 20:01:38

学雷锋做人发表于 2017-9-15 19:59
32a.exe 没有这个下载文件行为，OK？

就是32a下载的...

[可疑文件] 神秘文件