高质量，多引擎只有5家报，附救援区链接

显示全部楼层 · 发表于 2012-6-5 22:52:35

zhou0197 发表于 2012-6-5 22:48
对了，还有一个驱动，那个LZ说，杀软报毒了，但是从来找不到这个驱动在哪里：
C:\WINDOWS\system32\driv ...

我之前在卡饭看到一个手杀帖，那位楼主说找不到不代表它不存在，后来那位楼主用MD把它暴露出来了（不过我忘记是哪个帖子了

）

显示全部楼层 · 发表于 2012-6-5 22:53:22

zhou0197 发表于 2012-6-5 22:51
我试过，虚拟机重启之后倒是没有任何反应。

啊？！

显示全部楼层 · 发表于 2012-6-5 22:54:14

zhou0197 发表于 2012-6-5 22:48
对了，还有一个驱动，那个LZ说，杀软报毒了，但是从来找不到这个驱动在哪里：
C:\WINDOWS\system32\driv ...

ADS流有木有可能呢？？

显示全部楼层 · 发表于 2012-6-5 22:55:24

GiBson 发表于 2012-6-5 22:52
我之前在卡饭看到一个手杀帖，那位楼主说找不到不代表它不存在，后来那位楼主用MD把它暴露出来了（不过我 ...

如果LZ实在抓不住那个，也没有办法了，目前看来LZ的问题是解决了。

我在给LZ的处理程序（logaction）里面，要求干掉这两个文件，以及相关的注册表项，并且清空HOSTS。

显示全部楼层 · 发表于 2012-6-5 22:58:52

zhou0197 发表于 2012-6-5 22:55
如果LZ实在抓不住那个，也没有办法了，目前看来LZ的问题是解决了。

我在给LZ的处理程序（logaction）里 ...

我想问下，你对那个文件找不到，有什么想法吗?

显示全部楼层 · 发表于 2012-6-5 22:58:57

...又放一张图。
某专业人员说：

正常文件。
虽然后面有大量的数据追加。

追加的数据看起来像是日志记录。

你们就没有看看么？
最后追加的非垃圾无用数据。

不管怎么追加数据，不管追加的是什么数据，前面的exe文件是正常的。

显示全部楼层 · 发表于 2012-6-5 23:00:00

XywCloud 发表于 2012-6-5 22:54
ADS流有木有可能呢？？

要是ADS流，MD不可能没有检测到任何行为的啊…………

虚拟机重启没有变化在意料之中，之前运行的时候就没有行为，没有加任何开机启动项目啊…………

显示全部楼层 · 发表于 2012-6-5 23:01:40

GiBson 发表于 2012-6-5 22:58
我想问下，你对那个文件找不到，有什么想法吗?

真的没有什么想法…………或者，每次都被杀软干掉了，于是找不到。

显示全部楼层 · 发表于 2012-6-5 23:04:11

zhou0197 发表于 2012-6-5 23:01
真的没有什么想法…………或者，每次都被杀软干掉了，于是找不到。

Killer说这玩意有可能判断VM...
在VM环境运行不会自我删除（Killer用了两个VM，都是这个样），我这儿实机运行就自我删除了（可能有毒霸的影响，毒霸没有反应，但是前面火眼也提到了——疑似查找杀软进程）

显示全部楼层 · 发表于 2012-6-5 23:06:04

XywCloud 发表于 2012-6-5 22:58
...又放一张图。
某专业人员说：

这方面我不太懂，见谅…………

也就是说还会把运行的日子写在自己里面…………这个到底神马情况啊…………

奇葩的东东…………

[可疑文件] 高质量，多引擎只有5家报，附救援区链接