鬼影6变种，附报告~

allance

ZhLKr 发表于 2014-7-15 08:35
管家又亮了？

还可以，只不过是安全性未知，所以不肯定是否安全

w114116

XywCloud 发表于 2014-7-14 16:05
bav云杀2个
巡警云杀1个

巡警云还能用？

XywCloud

w114116 发表于 2014-7-16 07:42
巡警云还能用？

谁说不能用了

w114116

XywCloud 发表于 2014-7-16 08:43
谁说不能用了

我一直以为巡警被百度收购后云就不能用了

klinxun

XywCloud 发表于 2014-7-16 08:43
谁说不能用了

你们的产品主程序没更新，云和库还在更吧？
还好现在有稳定收入了。

白露为霜

下载一半就被小a抱毒了

zjwzh11

还是虚拟机最安全。。神马影子系统就是一个进程神马的。。

o真的假的o

诺顿 下载检测直接拉黑

hddu

2014-07-21 11:47:45    加载库文件      操作:阻止
进程路径:C:\WINDOWS\explorer.exe
文件路径:C:\WINDOWS\system32\04960560.tmp
触发规则:应用程序规则->库文件设置->C:\WINDOWS\Explorer.EXE->*\*.tmp


2014-07-21 11:47:49    读取文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
文件路径:C:\windows\system32\NTMARTA.DLL
触发规则:应用程序规则->程序->?:\*->%windir%\system32\NTMARTA.DLL


2014-07-21 11:47:49    创建注册表值      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6680578C
注册表名称:[Key]
触发规则:所有程序规则->服务_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-21 11:47:52    安装服务或者驱动      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
文件路径:C:\windows\system32\6680578C.sys
触发规则:所有程序规则->加载驱动安装服务->*\*.sys


2014-07-21 11:47:52    安装服务或者驱动      操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
文件路径:C:\windows\Base
触发规则:所有程序规则->加载驱动安装服务->%windir%\*


2014-07-21 11:47:52    创建注册表值      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6680578C
注册表名称:[Key]
触发规则:所有程序规则->服务_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-21 11:47:52    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
文件路径:C:\windows\system32\6680578C.sys
触发规则:所有程序规则->驱动文件保护设置->%WinDir%\system32\*.sys


2014-07-21 11:48:02    安装服务或者驱动      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
文件路径:C:\windows\system32\drmkaud.sys
触发规则:所有程序规则->加载驱动安装服务->*\*.sys


2014-07-21 11:48:02    修改注册表内容      操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\drmkaud
注册表名称:ImagePath
更改后:system32\drmkaud.sys
更改前:system32\drivers\drmkaud.sys
触发规则:所有程序规则->服务_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\drmkaud


2014-07-21 11:48:02    删除文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
文件路径:C:\WINDOWS\system32\6680578C.sys
触发规则:所有程序规则->驱动文件保护设置->%WinDir%\system32\*.sys


2014-07-21 11:48:02    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
文件路径:C:\windows\system32\04D264C1.sys
触发规则:所有程序规则->驱动文件保护设置->%WinDir%\system32\*.sys


2014-07-21 11:48:05    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\272b1e84.bat" "
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2014-07-21 11:48:05    修改文件      操作:阻止并结束进程
进程路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
文件路径:C:\windows\system32\appmgmts.dll
触发规则:所有程序规则->需要保护的文件->%windir%\system32\appmgmts.dll


2014-07-21 11:48:08    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\Documents and Settings\Administrator\桌面\MBR密码m8p6\MBR\infopxy.exe
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%SystemDrive%\*

电仙

我也来测试下样本，看看到底有多么强大！