VT Detection ratio: 9 / 47 sewsvflcjbyjeweiprl.bfg 锁屏挂马

驭龙

墨家小子 发表于 2013-9-21 11:41
以重启之后是否锁屏为准 因为看能否拦截木马写入启动项

你这个小马,我测不了了,因为有DSS

这是隔壁的唯一过Microsoft AntiMalware的锁屏启动项,是利用系统自己的文件导致白屏的.

六月离

大师兄
下载时间: 2013-09-21 12:09:43
下载工具:  Chrome浏览器
文件路径:  c:\users\generation\downloads\sewsvflcjbyjeweiprl.zip
病毒名:  Win32.Heur.KVMF36.hy.(kcloud)
操作结果:  已删除

墨家小子

驭龙 发表于 2013-9-21 12:10
你这个小马,我测不了了,因为有DSS

这是隔壁的唯一过Microsoft AntiMalware的锁屏启动项,是利用系统自己 ...

这个是那一只？

XywCloud

墨家小子 发表于 2013-9-21 12:07
X哥V5全世界跪拜

火狐姐V5！！！
跪拜火狐姐！！！

驭龙

墨家小子 发表于 2013-9-21 12:15
这个是那一只？

早上测的,那时候是使用的最新特征库,唯一被过的.

之前你昨天发的几个实际上测试的时候已经入库了

http://bbs.kafan.cn/thread-1630677-1-1.html

墨家小子

驭龙 发表于 2013-9-21 12:18
早上测的,那时候是使用的最新特征库,唯一被过的.

之前你昨天发的几个实际上测试的时候已经入库了

你用的什么系统？

驭龙

墨家小子 发表于 2013-9-21 12:21
你用的什么系统？

我之前说过我的虚拟机是Windows 7 32位的SP1旗舰版。

另外，你这个样本也过了MA
http://bbs.kafan.cn/thread-1630840-1-1.html

启动项与刚刚那个一样

墨家小子

驭龙 发表于 2013-9-21 12:36
我之前说过我的虚拟机是Windows 7 32位的SP1旗舰版。

另外，你这个样本也过了MA

跟你用的系统一样，奇怪啊 我这里拦截之后放行 根本没有写启动项的行为

驭龙

墨家小子 发表于 2013-9-21 12:45
跟你用的系统一样，奇怪啊 我这里拦截之后放行 根本没有写启动项的行为

当然不会有，它只不过是在shell启动项后面添加缓存加载，你断网运行病毒，等五分钟以后，重新启动，就知道了，连PCHunter都检测不出异常，但是在shell启动项的值中，就可以看到Explorer加载系统缓存文件

墨家小子

驭龙 发表于 2013-9-21 12:55
当然不会有，它只不过是在shell启动项后面添加缓存加载，你断网运行病毒，等五分钟以后，重新启动，就知道 ...

看来是要断网 等时间长点

你再试试这个



https://www.virustotal.com/en/fi ... nalysis/1379739537/