10年时候的一个脚本下载器，大家来测测主防和回滚能力？

显示全部楼层 · 发表于 2014-11-3 20:02:04

本帖最后由幽冥の龙于 2014-11-3 20:39 编辑

无聊翻帖子的时候偶尔翻到到的，10年时别人发的一个样本，当初似乎过的了几乎所有的扫描
如今上传VirusTotal 也只报了12个

根据当时的那帖子费尔当时是被过的
现在依然过了费尔扫描，360沙箱跑了下打开的网页已经失效了似乎不下木马了，不过还是生成了一些文件
虚拟机中费尔双击，动态防御报了，放行后，等了很长很长时间，大约5~10分钟？费尔动态防御再次报警

以下是费尔第2次报警时的描述，点击清除后全部删干净了

部分行为如下:

CreateProcess to C:\Program Files\Internet Explorer\iexplore.exe(PID/TID: 5256)

RegSetValue: [\REGISTRY\USER\S-1-5-21-2257441932-3889332448-3621037812-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections] SavedLegacySettings

CreateProcess to C:\Windows\system32\ntvdm.exe(PID/TID: 5924)

CreateProcess to C:\Windows\system32\conhost.exe(PID/TID: 4336)

Event further operations have been omitted......

RegSetValue: [\REGISTRY\USER\S-1-5-21-2257441932-3889332448-3621037812-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections] SavedLegacySettings

CreateFile: C:\Users\Test\AppData\Local\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{F8E39DD7-634F-11E4-A1EE-000C29F72198}.dat

CreateFile: C:\Users\Test\AppData\Local\Temp\~DF662191B9499401D3.TMP

CreateFile: C:\Users\Test\AppData\Local\Temp\scsE9E2.tmp

File further operations have been omitted......

RegSetValue: [\REGISTRY\USER\S-1-5-21-2257441932-3889332448-3621037812-1000\Software\Microsoft\Internet Explorer\Main] Window_Placement

Registry further operations have been omitted......

显示全部楼层 · 发表于 2014-11-3 20:10:49

歌德塔直接拦截

显示全部楼层 · 发表于 2014-11-3 20:16:58

显示全部楼层 · 发表于 2014-11-3 20:23:09

脚本，不测了。

显示全部楼层 · 发表于 2014-11-3 21:03:54

好压EAVKILL

火绒扫描MISS

显示全部楼层 · 发表于 2014-11-3 21:17:16

红伞TR/Gen.DKE Trojan

显示全部楼层 · 发表于 2014-11-3 22:06:52

eset8拦了

显示全部楼层 · 发表于 2014-11-3 22:22:16

先拦截

提示回滚

一系列回滚操作的弹窗就不一一截图了

显示全部楼层 · 发表于 2014-11-3 22:38:10

趋势科技简中7.0miss

显示全部楼层 · 发表于 2014-11-3 22:47:11

OAKESS 发表于 2014-11-3 22:22
先拦截

提示回滚

我这里双击没有修改注册表也没有生成任何文件

[病毒样本] 10年时候的一个脚本下载器，大家来测测主防和回滚能力？

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块