半夜来一发，高级一些的

zhou0197

Qutianshang 发表于 2014-6-14 00:12
估计是，但那个中招的说是被锁屏就不对了

确实不太像…………也没有下载器什么的？？就算有远控的功能，也不至于锁屏什么的…………

真的没有给错样本？

Qutianshang

zhou0197 发表于 2014-6-14 00:14
确实不太像…………也没有下载器什么的？？就算有远控的功能，也不至于锁屏什么的…………

真的没有给 ...

他把qq都给我了，最近7天就这一个文件

aplk1002

卡巴
2014/6/14 0:26:16        检测到疑似感染的对象        检测到威胁: HEUR:Trojan.Win32.Generic        C:\Users\Administrator\Desktop\战神辅助\战神辅助.exe               

zhou0197

Qutianshang 发表于 2014-6-14 00:20
他把qq都给我了，最近7天就这一个文件

理论上如果电脑以及被控制了，并且带有远控的功能，强行锁屏似乎也不是不行，开机密码应该不会有吧…………

锁屏的话，尝试进安全模式处理吧，不能启动总该没辙了吧…………

要真的是驱动级别的锁屏…………

壮哉我PE大法，信大法，锁屏、密码皆可破………………

zhou0197

Qutianshang 发表于 2014-6-14 00:20
他把qq都给我了，最近7天就这一个文件

重启之后看来还没完…………

2014-6-14 00:35:51    创建文件    允许
进程: c:\documents and settings\zhou\桌面\战神辅助\战神辅助.exe
目标: C:\Documents and Settings\zhou\桌面\战神辅助\1.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2014-6-14 00:35:52    创建新进程    允许
进程: c:\documents and settings\zhou\桌面\战神辅助\战神辅助.exe
目标: c:\documents and settings\zhou\桌面\战神辅助\1.exe
命令行: "C:\Documents and Settings\zhou\桌面\战神辅助\1.exe"
规则: [应用程序]*

2014-6-14 00:35:55    访问网络    允许
进程: c:\documents and settings\zhou\桌面\战神辅助\1.exe
目标: TCP [本机 : 1038] ->  [174.139.197.141 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

Qutianshang

zhou0197 发表于 2014-6-14 00:42
重启之后看来还没完…………

2014-6-14 00:35:51    创建文件    允许

难道是后来下载的

zhou0197

Qutianshang 发表于 2014-6-14 00:43
难道是后来下载的

是的…………感觉还可能有后续…………联网了，一切皆有可能。

zhou0197

Qutianshang 发表于 2014-6-14 00:43
难道是后来下载的

就是这个！



一看作者HZH我就知道咋回事了…………

传说中的用命名管道加开机密码…………

还是上PE吧，破了密码恐怕还有很多事情要做呢！

Qutianshang

zhou0197 发表于 2014-6-14 00:47
就是这个！

  好高级，这个麻烦

zhou0197

Qutianshang 发表于 2014-6-14 00:50
好高级，这个麻烦

用的不是net user，是命名管道，据说密码分散在程序代码里面，我是不会读取…………