【拿去玩吧】ROOTKIT MASK

lifan88

这是从很多样本中找到一个能跑得起来的

感谢几位朋友建议

liulangzhecgr

测试系统防御：

2015-1-24 16:34:18    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\downloads\测试6\the_mask\the_mask.exe
命令行: "F:\downloads\测试6\The_Mask\The_Mask.exe"
规则: [应用程序组]Virus TEST -> [应用程序]f:\downloads\测试6\*.exe

2015-1-24 16:35:48    创建文件    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: C:\WINDOWS\system32\awdcxc32.dll
规则: [应用程序组]Virus TEST -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2015-1-24 16:36:11    创建文件    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: C:\WINDOWS\system32\mfcn30.dll
规则: [应用程序组]Virus TEST -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2015-1-24 16:36:16    创建文件    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: C:\WINDOWS\system32\vchw9x.dll
规则: [应用程序组]Virus TEST -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2015-1-24 16:36:22    创建文件    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: C:\WINDOWS\system32\awcodc32.dll
规则: [应用程序组]Virus TEST -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2015-1-24 16:36:27    创建文件    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: C:\WINDOWS\system32\jpeg1x32.dll
规则: [应用程序组]Virus TEST -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2015-1-24 16:36:37    创建文件    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: C:\WINDOWS\system32\bootfont.bin
规则: [应用程序组]Virus TEST -> [文件]*

2015-1-24 16:36:45    创建文件    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: C:\WINDOWS\system32\Drivers\scsimap.sys
规则: [应用程序组]Virus TEST -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2015-1-24 16:38:17    创建注册表项    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\scsimap\Params
规则: [应用程序组]Virus TEST -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-1-24 16:38:45    创建注册表项    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\scsimap
规则: [应用程序组]Virus TEST -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2015-1-24 16:39:09    创建文件    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\___14.tmp
规则: [应用程序组]Virus TEST -> [文件]*

2015-1-24 16:39:27    修改文件    允许
进程: f:\downloads\测试6\the_mask\the_mask.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\___14.tmp
规则: [应用程序组]Virus TEST -> [文件]*

尘梦幽然

趋势科技简中8.0：
威胁名称:        TROJ_CARETO.B
类型:        威胁
受感染文件:        C:\Users\Jerry Chen\Desktop\The_Mask.exe
处理措施:        已移除
检测方式:        实时扫描

所有行为：http://fireeye.ijinshan.com/anal ... 94cf6ca6&type=1

神武军师

病毒: Gen:Variant.Mask.3 (引擎A)

下载网页内容时发现病毒。

地址: https://att.kafan.cn/forum.php?mo ... DM4Nzk4OHwxODA1Mzky
状态：         访问被拒绝。

Flameocean

过费尔，，，

诸葛亮

红伞 'TR/Heap.A

文件B超https://www.b-chao.com/index.php ... 83BFFC5D342D8D6148B

275751198

360 Win32/Trojan.d4a

fuzhk

Win32/Backdoor.MASK.A
FS

paul_guo

FS杀了

蓝天二号

KIS