一个不算病毒的流氓，不怕的点击【样本已经压缩加密更新】

显示全部楼层 · 发表于 2014-7-4 08:19:14

fuzhk 发表于 2014-7-2 20:46
为了反黄，只能下载5次，所以不要传云盘。还有，注入进程怎么危害不大

原来如此。那传哪里好呢。

还有，注入进程只能关机重启才可以。

显示全部楼层 · 发表于 2014-7-4 08:19:34

fuzhk 发表于 2014-7-2 20:51
看9楼好像没有发的打算了

没什么好的地方法。下载几次就失效了。

显示全部楼层 · 发表于 2014-7-4 08:19:53

深山红叶__ 发表于 2014-7-2 20:57
样本就不要传数字云盘了…传百度盘也行啊，rar加个密，文件名起个正常点的，比如“工作资料”、“学习经 ...

原来如此。那我加密重发。

显示全部楼层 · 发表于 2014-7-4 08:40:43

你的益达，啊不，你的样本

显示全部楼层 · 发表于 2014-7-4 08:54:09

显示全部楼层 · 发表于 2014-7-4 14:38:47

虚拟机测试

打开后载驱动、放文件、加钩子
关闭后卸钩子、删文件（没删干净）、驱动留了一个LdDisk.sys

显示全部楼层 · 发表于 2014-7-4 16:50:52

分享已从地球上消失啦- -

显示全部楼层 · 发表于 2014-7-4 17:29:26

深山红叶__ 发表于 2014-7-4 14:38
虚拟机测试

打开后载驱动、放文件、加钩子

进程有没有ld开头的东西、、、

显示全部楼层 · 发表于 2014-7-4 17:30:54

fuzhk 发表于 2014-7-4 08:54
http://fireeye.ijinshan.com/analyse.html?md5=a5e85edd699877947a52daac43e07ab0&sha1=eb5f93a414666d525 ...

够变态吧。。。猜猜是什么软件后遗症。

显示全部楼层 · 发表于 2014-7-4 17:47:56

snow313 发表于 2014-7-4 17:29
进程有没有ld开头的东西、、、

程序运行后在Temp某目录生成一个Ld....exe，并运行

[可疑文件] 一个不算病毒的流氓，不怕的点击【样本已经压缩加密更新】