谁用沙盘双击运行这只

显示全部楼层 · 发表于 2012-4-23 20:34:39

样本区：http://bbs.kafan.cn/thread-1274142-1-1.html

我在虚拟机里双击运行，之后NIS2012杀了两个。重启虚拟机进不了系统

肿么回事？

显示全部楼层 · 发表于 2012-4-23 20:41:47

Warning
In order not to compromise your security, this page will not be accessed
A virus or unwanted program was found in the HTTP data of the requested page.

Requested URL: http://bbs.kafan.cn/forum.php?mo ... DQ4NjA0OXwxMjc0MTQy
Information: Is the TR/Dropper.Gen Trojan
Generated by Web Protection 12.01.06.17, AVE 8.2.10.52, VDF 7.11.28.86

显示全部楼层 · 发表于 2012-4-23 20:41:54

下载后直接被杀了。。

显示全部楼层 · 发表于 2012-4-23 20:42:54

反沙箱么？不敢试

显示全部楼层 · 发表于 2012-4-23 20:53:14

毒霸Q管直接杀

显示全部楼层 · 发表于 2012-4-23 20:54:22

[/float]

ASF这样都能启发？

显示全部楼层 · 发表于 2012-4-23 21:59:53

A2杀

显示全部楼层 · 发表于 2012-4-24 09:24:37

开始在“D:\下载\kr.7z”中扫描
D:\下载\kr.7z
  [0] 存档类型: 7-Zip
[注意]       一个备份被创建为“4fc40137.qua”(隔离区)
[注意]       文件已删除!
--> kr.exe
   [检测]       是 TR/Dropper.Gen 特洛伊木马

显示全部楼层 · 发表于 2012-4-24 09:44:27

本帖最后由 liulangzhecgr 于 2012-4-24 10:05 编辑

非要沙盘双击？！影子下呢？！

以基本用户权限运行样本：

2012-4-24 09:50:27 创建新进程允许
进程: c:\windows\explorer.exe
目标: e:\downloads\基本用户\kr\kr.exe
命令行: "E:\downloads\基本用户\kr\kr.exe"
规则: [应用程序]*

2012-4-24 09:50:41 修改其他进程的内存允许
进程: e:\downloads\基本用户\kr\kr.exe
目标: c:\program files\internet explorer\iexplore.exe
规则: [应用程序]*

结束掉ie 进程...

2012-4-24 09:51:06 创建文件允许
进程: e:\downloads\基本用户\kr\kr.exe
目标: C:\WINDOWS\system32\ws2helpXP.dll
规则: [应用程序]* -> [文件]*

2012-4-24 09:51:30 创建文件允许
进程: e:\downloads\基本用户\kr\kr.exe
目标: C:\WINDOWS\imm32.bmp
规则: [应用程序]* -> [文件]*

2012-4-24 09:51:46 修改注册表值允许
进程: e:\downloads\基本用户\kr\kr.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
值: ws2help.dll
规则: [应用程序]* -> [注册表]*

这类病毒（好像是个老病毒）不好办吧？！

2012-4-24 09:51:55 创建新进程允许
进程: e:\downloads\基本用户\kr\kr.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c del "E:\downloads\基本用户\kr\kr.exe"
规则: [应用程序]*

2012-4-24 09:51:59 删除文件允许
进程: c:\windows\system32\cmd.exe
目标: E:\downloads\基本用户\kr\kr.exe
规则: [应用程序]* -> [文件]*

组策略+NTFS权限防御成功!

++++++++++++++++++++++++++++++++++++++++++++++
以管理员权限运行：

和以基本用户权限运行没什么两样...

显示全部楼层 · 发表于 2012-4-24 09:53:26

liulangzhecgr 发表于 2012-4-24 09:44
非要沙盘双击？！影子下呢？！

也行

[其他相关] 谁用沙盘双击运行这只

本帖子中包含更多资源