半夜来一发，高级一些的

显示全部楼层 · 发表于 2014-6-14 00:57:33

zhou0197 发表于 2014-6-14 00:53
用的不是net user，是命名管道，据说密码分散在程序代码里面，我是不会读取…………

还是让他u盘破解吧，开机之后要怎么做？

显示全部楼层 · 发表于 2014-6-14 00:58:00

Qutianshang 发表于 2014-6-14 00:50
好高级，这个麻烦

http://fireeye.ijinshan.com/anal ... db70ad6fc40f68#full

这一条很有意思：tan.13rj.com/yj/tan/2.htm

mima0625

据说是个动态密码什么的，反正好像有人测试过，不是最终的开机密码…………

显示全部楼层 · 发表于 2014-6-14 01:01:33

Qutianshang 发表于 2014-6-14 00:57
还是让他u盘破解吧，开机之后要怎么做？

破掉密码之后，先把账户名改回来（没有新建立账户，原来账户加了个全名而已）。

然后估计就C:\WINDOWS\system32\loveML.sys这个驱动可能需要干预一下。

总之建议进系统之后，先改用户名，然后上360急救箱（务必开启强力模式），不行再说喽。

显示全部楼层 · 发表于 2014-6-14 01:02:22

zhou0197 发表于 2014-6-14 00:58
http://fireeye.ijinshan.com/analyse.html?md5=cc668e4e89e1debde43a3e6af26d1999&sha1=5cf6b463e1132fa ...

动态的话没有办法了，你给我的文件是怎么回事，那个可以开机啊

显示全部楼层 · 发表于 2014-6-14 01:03:28

Qutianshang 发表于 2014-6-14 01:02
动态的话没有办法了，你给我的文件是怎么回事，那个可以开机啊

？？？

我这个是它下载下来的，开机加密码的啊…………

显示全部楼层 · 发表于 2014-6-14 01:05:01

zhou0197 发表于 2014-6-14 01:03
？？？

我这个是它下载下来的，开机加密码的啊…………

那个带着密码 mima2643986381 虚拟机可以开机

显示全部楼层 · 发表于 2014-6-14 01:11:35

Qutianshang 发表于 2014-6-14 01:05
那个带着密码 mima2643986381 虚拟机可以开机

我给你的那个rar文件？？

这个果断没有带密码啊…………

你看看那个QQ号和我的截图是否一致？

显示全部楼层 · 发表于 2014-6-14 01:14:51

zhou0197 发表于 2014-6-14 01:11
我给你的那个rar文件？？

这个果断没有带密码啊…………

设置系统用户：想知道密码请联系QQ1401517499 【放行】
Msg ------ : 设置系统用户：mima2643986381 【放行】
后面的这个就是密码

显示全部楼层 · 发表于 2014-6-14 01:17:26

Qutianshang 发表于 2014-6-14 01:14
设置系统用户：想知道密码请联系QQ1401517499 【放行】
Msg ------ : 设置系统用户：mima2643986381 ...

好吧……什么分析软件这么牛…………

能开机就可以下一步了…………

显示全部楼层 · 发表于 2014-6-14 01:21:11

zhou0197 发表于 2014-6-14 01:17
好吧……什么分析软件这么牛…………

能开机就可以下一步了…………

别人写的调试程序，全局钩子一类的吧，我也不是很懂

[病毒样本] 半夜来一发，高级一些的