毛豆8跑一下这个样本，记得开沙盘，看看能不能拦截到加入启动项

显示全部楼层 · 发表于 2014-9-28 11:21:53

本帖最后由墨家小子于 2014-9-28 11:32 编辑

对了云鉴定也开着，反正就是全开

通过参加蓝翔增肥训练班，躲过云鉴定，启动svchost，利用svchost写启动项，自动沙盘也不是那么靠谱

2014-09-28 11:20:02 C:\Windows\SysWOW64\svchost.exe 访问内存 C:\Program Files\COMODO\COMODO Internet Security\CisTray.exe
2014-09-28 11:19:33 C:\Users\AAAAAA\vveerjsq.exe 创建进程 C:\Windows\SysWOW64\svchost.exe
2014-09-28 11:19:32 C:\Windows\SysWOW64\cmd.exe 扫描后发现为安全程序
2014-09-28 11:19:29 C:\Users\AAAAAA\vveerjsq.exe 创建进程 C:\Users\AAAAAA\vveerjsq.exe
2014-09-28 11:19:26 C:\Users\AAAAAA\AppData\Local\Temp\0148.bat 修改文件 C:\Users\AAAAAA\Desktop\11111\11111.exe
2014-09-28 11:19:22 C:\Users\AAAAAA\Desktop\11111\11111.exe 创建进程 C:\Windows\SysWOW64\cmd.exe
2014-09-28 11:19:19 C:\Users\AAAAAA\Desktop\11111\11111.exe 创建进程 C:\Users\AAAAAA\AppData\Local\Temp\0148.bat
2014-09-28 11:19:14 C:\Users\AAAAAA\Desktop\11111\11111.exe 创建进程 C:\Users\AAAAAA\vveerjsq.exe
2014-09-28 11:19:07 C:\Users\AAAAAA\Desktop\11111\11111.exe 修改文件 C:\Users\AAAAAA\vveerjsq.exe
2014-09-28 11:18:57 C:\Users\AAAAAA\Desktop\11111\11111.exe 创建进程 C:\Users\AAAAAA\Desktop\11111\11111.exe

显示全部楼层 · 发表于 2014-9-28 11:40:04

这个也不错，启动svchost，云鉴定没反应，全开

2014-09-28 11:36:49 C:\Users\AAAAAAA\AppData\Local\Temp\IRNAM.bat 创建进程 C:\Windows\SysWOW64\reg.exe
2014-09-28 11:36:49 C:\Windows\explorer.exe 访问内存 C:\Program Files\COMODO\COMODO Internet Security\cis.exe
2014-09-28 11:36:49 C:\Windows\Skypee\skypee.exe 可疑病毒
2014-09-28 11:36:47 C:\Windows\SysWOW64\cmd.exe 扫描后发现为安全程序
2014-09-28 11:36:46 C:\Windows\Skypee\skypee.exe 可疑病毒
2014-09-28 11:36:41 C:\Users\AAAAAAA\AppData\Local\Temp\IRNAM.bat 创建进程 C:\Windows\SysWOW64\reg.exe
2014-09-28 11:36:38 C:\Windows\Skypee\skypee.exe 创建进程 C:\Windows\SysWOW64\cmd.exe
2014-09-28 11:36:33 C:\Windows\Skypee\skypee.exe 创建进程 C:\Users\AAAAAAA\AppData\Local\Temp\IRNAM.bat
2014-09-28 11:36:30 C:\Users\AAAAAAA\AppData\Local\Temp\BCNTY.bat 创建进程 C:\Windows\SysWOW64\reg.exe
2014-09-28 11:36:30 C:\Windows\Skypee\skypee.exe 可疑病毒
2014-09-28 11:36:28 C:\Windows\SysWOW64\cmd.exe 扫描后发现为安全程序
2014-09-28 11:36:27 C:\Windows\Skypee\skypee.exe 可疑病毒
2014-09-28 11:36:24 C:\Windows\explorer.exe 访问内存 C:\Program Files\COMODO\COMODO Internet Security\cis.exe
2014-09-28 11:36:22 C:\Users\AAAAAAA\AppData\Local\Temp\BCNTY.bat 创建进程 C:\Windows\SysWOW64\reg.exe
2014-09-28 11:36:17 C:\Windows\Skypee\skypee.exe 创建进程 C:\Windows\SysWOW64\cmd.exe
2014-09-28 11:36:04 C:\Windows\Skypee\skypee.exe 创建进程 C:\Windows\SysWOW64\svchost.exe
2014-09-28 11:36:01 C:\Windows\Skypee\skypee.exe 创建进程 C:\Users\AAAAAAA\AppData\Local\Temp\BCNTY.bat
2014-09-28 11:35:58 C:\Windows\Skypee\skypee.exe 创建进程 C:\Windows\Skypee\skypee.exe
2014-09-28 11:35:54 C:\Windows\Skypee\skypee.exe 创建进程 C:\Windows\Skypee\skypee.exe
2014-09-28 11:35:50 C:\Users\AAAAAAA\Desktop\22222.exe 创建进程 C:\Windows\Skypee\skypee.exe
2014-09-28 11:35:48 C:\Windows\explorer.exe 访问内存 C:\Program Files\COMODO\COMODO Internet Security\cis.exe
2014-09-28 11:35:41 C:\Users\AAAAAAA\Desktop\22222.exe 修改文件 C:\Windows\Skypee\skypee.exe
2014-09-28 11:35:40 C:\Users\AAAAAAA\AppData\Local\Temp\VSGSD.bat 创建进程 C:\Windows\SysWOW64\reg.exe
2014-09-28 11:35:37 C:\Windows\SysWOW64\cmd.exe 扫描后发现为安全程序
2014-09-28 11:35:33 C:\Windows\explorer.exe 访问内存 C:\Program Files\COMODO\COMODO Internet Security\cis.exe
2014-09-28 11:35:31 C:\Users\AAAAAAA\AppData\Local\Temp\VSGSD.bat 创建进程 C:\Windows\SysWOW64\reg.exe
2014-09-28 11:35:28 C:\Users\AAAAAAA\Desktop\22222.exe 创建进程 C:\Windows\SysWOW64\cmd.exe
2014-09-28 11:35:24 C:\Users\AAAAAAA\Desktop\22222.exe 创建进程 C:\Users\AAAAAAA\AppData\Local\Temp\VSGSD.bat
2014-09-28 11:35:18 C:\Users\AAAAAAA\Desktop\22222.exe 创建进程 C:\Users\AAAAAAA\Desktop\22222.exe

显示全部楼层 · 发表于 2014-9-28 15:14:28

双击样本一后出现KK,HH开头的应该程序，提示虚拟化了

显示全部楼层 · 发表于 2014-9-28 15:50:01

本帖最后由 a256886572008 于 2014-9-28 16:14 编辑

啟動項都在沙盤內。

11111

22222

Viruscope 還是弱，沒反應。

显示全部楼层 · 发表于 2014-9-28 16:17:32

a256886572008 发表于 2014-9-28 15:50
啟動項都在沙盤內。

11111

是64位系统吗 a大？我这里就没进沙盘呢，什么情况？不过连着云

显示全部楼层 · 发表于 2014-9-28 16:18:38

huihui458 发表于 2014-9-28 15:14
双击样本一后出现KK,HH开头的应该程序，提示虚拟化了

两个全部虚拟化了吗？我去我这两个都没有

显示全部楼层 · 发表于 2014-9-28 16:24:09

墨家小子发表于 2014-9-28 16:17
是64位系统吗 a大？我这里就没进沙盘呢，什么情况？不过连着云

1. 我是 64bit

2. 雙擊沒進沙，這個就要看是否規則問題。
V8 改成入口防禦。

显示全部楼层 · 发表于 2014-9-28 16:27:17

a256886572008 发表于 2014-9-28 16:24
1. 我是 64bit

2. 雙擊沒進沙，這個就要看是否規則問題。

自动沙盘就是默认的规则没有改动你注销之后启动项就在沙盘内了吗？

显示全部楼层 · 发表于 2014-9-28 16:34:05

墨家小子发表于 2014-9-28 16:27
自动沙盘就是默认的规则没有改动你注销之后启动项就在沙盘内了吗？

我看完，直接倒沙了。

重啟之後，實機也沒有啟動項。

显示全部楼层 · 发表于 2014-9-28 16:36:00

a256886572008 发表于 2014-9-28 16:34
我看完，直接倒沙了。

重啟之後，實機也沒有啟動項。

怪了明明启动项在那的怎么重启就挂了呢

[行为分析] 毛豆8跑一下这个样本，记得开沙盘，看看能不能拦截到加入启动项

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源