关闭监控测主防的样本来了，鬼影7

chengxy

Darkei 发表于 2015-2-14 12:14
你实机运行试试？看看PE能不能解决，只会PE重置MBR的菜鸟吗？

你才是菜鸟，我直接填零病毒不就清除了

Darkei

chengxy 发表于 2015-2-14 12:29
你才是菜鸟，我直接填零病毒不就清除了

               我另外一台电脑就是中的这个东西，我重置MBR没效果，重启还是一样的，格式化也没用，填零也没用，只能换硬盘

魔王丶羽翼

早几年中 了鬼影 害我全新格式硬盘才折腾好。。

hddu

有办法的，关键是经常备份。

lixihong10

要说鬼影8还比较稀奇

Flameocean

Darkei 发表于 2015-2-14 12:38
我另外一台电脑就是中的这个东西，我重置MBR没效果，重启还是一样的，格式化也没用，填零 ...

法虫你又来吓唬人了啊，哥刚刚实机在XP系统双击病毒，确实无法开机，但是PE系统重置MBR，在system32删掉这个病毒创建的所有SYS和DLL，然后进入安全模式，再用360急救箱完美解决了

liulangzhecgr

Darkei 发表于 2015-2-14 12:38
我另外一台电脑就是中的这个东西，我重置MBR没效果，重启还是一样的，格式化也没用，填零 ...

问题关键在于是否或如何替换输入法文件即msctfime.ime

bierewodl

很想知道SD能不能顶住这货？

liulangzhecgr

2015-2-14 21:10:51    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
命令行: "F:\downloads\测试6\XXX\鬼影7密码：xxbug\xxx.exe"
规则: [应用程序组]Virus TEST

2015-2-14 21:11:22    创建文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\stinst.log
规则: [应用程序组]Virus TEST -> [文件]*

2015-2-14 21:11:34    修改文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\stinst.log
规则: [应用程序组]Virus TEST -> [文件]*

2015-2-14 21:11:41    创建文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\WINDOWS\system32\150006C4.tmp
规则: [应用程序组]Virus TEST -> [文件]?:\*; *.tmp

2015-2-14 21:12:17    向其他进程发送消息 (2)    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: c:\windows\explorer.exe
消息: WM_INPUTLANGCHANGEREQUEST
规则: [应用程序组]Virus TEST

2015-2-14 21:13:51    修改注册表项权限    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\{eec12db6-ad9c-4168-8658-b03daef417fe}\{ABD61E00-9350-47e2-A632-4438B90C6641}\LogConf
规则: [应用程序组]Virus TEST -> [注册表组]xp 漏洞-自动加载驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\*

2015-2-14 21:13:57    修改注册表项权限    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\{eec12db6-ad9c-4168-8658-b03daef417fe}\{ABD61E00-9350-47e2-A632-4438B90C6641}\Control
规则: [应用程序组]Virus TEST -> [注册表组]xp 漏洞-自动加载驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\*

2015-2-14 21:14:00    修改注册表项权限    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\{eec12db6-ad9c-4168-8658-b03daef417fe}\{ABD61E00-9350-47e2-A632-4438B90C6641}
规则: [应用程序组]Virus TEST -> [注册表组]xp 漏洞-自动加载驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\*

2015-2-14 21:14:06    创建注册表项    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\15D94877
规则: [应用程序组]Virus TEST -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2015-2-14 21:14:09    修改注册表值    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\15D94877\Start
值: 0x00000000(0)
规则: [应用程序组]Virus TEST -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2015-2-14 21:14:12    修改注册表值    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\15D94877\Type
值: 0x00000001(1)
规则: [应用程序组]Virus TEST -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:14:15    修改注册表值    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\15D94877\ImagePath
值: system32\15D94877.sys
规则: [应用程序组]Virus TEST -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2015-2-14 21:14:18    修改注册表值    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\15D94877\Group
值: Base
规则: [应用程序组]Virus TEST -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:15:03    修改注册表值    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\{eec12db6-ad9c-4168-8658-b03daef417fe}\{ABD61E00-9350-47e2-A632-4438B90C6641}\Service
值: 15D94877
规则: [应用程序组]Virus TEST -> [注册表组]xp 漏洞-自动加载驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\*

2015-2-14 21:15:07    创建文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\WINDOWS\system32\15D94877.sys
规则: [应用程序组]Virus TEST -> [文件]?:\*; *.sys

2015-2-14 21:15:12    修改文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]Virus TEST -> [文件]*

2015-2-14 21:15:33    修改注册表值    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\{eec12db6-ad9c-4168-8658-b03daef417fe}\{ABD61E00-9350-47e2-A632-4438B90C6641}\Service
值: drmkaud
规则: [应用程序组]Virus TEST -> [注册表组]xp 漏洞-自动加载驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\*

2015-2-14 21:15:38    删除注册表项    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\15D94877\Enum
规则: [应用程序组]Virus TEST -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:15:41    删除注册表项    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\15D94877
规则: [应用程序组]Virus TEST -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2015-2-14 21:15:59    安装驱动程序或服务    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\WINDOWS\system32\6DBB4D1D.sys
规则: [应用程序组]Virus TEST

2015-2-14 21:16:03    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6DBB4D1D
规则: [应用程序]c:\windows\system32\services.exe -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2015-2-14 21:16:27    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6DBB4D1D\Type
值: 0x00000001(1)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:16:27    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6DBB4D1D\Start
值: 0x00000002(2)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2015-2-14 21:16:27    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6DBB4D1D\ErrorControl
值: 0x00000001(1)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:16:27    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6DBB4D1D\ImagePath
值: \??\C:\WINDOWS\system32\6DBB4D1D.sys
规则: [应用程序]c:\windows\system32\services.exe -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2015-2-14 21:16:27    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6DBB4D1D\DisplayName
值: 6DBB4D1D
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:16:27    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6DBB4D1D\Group
值: Base
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:16:27    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6DBB4D1D\Security
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:16:27    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6DBB4D1D\Security\Security
值: 01 00 14 80 90 00 00 00 9c 00 00 00 14 00 00 00 30 00 00 00 02 00 1c 00 01 00 00 00 02 80 14 00 ff 01 0f 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 fd 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 ff 01 0f 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 00 00 14 00 8d 01 02 00 01 01 00 00 00 00 00 05 0b 00 00 00 00 00 18 00 fd 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 01 01 00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:16:31    创建文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\WINDOWS\system32\6DBB4D1D.sys
规则: [应用程序组]Virus TEST -> [文件]?:\*; *.sys

2015-2-14 21:16:56    加载驱动程序    允许
进程: c:\windows\system32\services.exe
目标: c:\windows\system32\6dbb4d1d.sys
规则: [应用程序]c:\windows\system32\services.exe

2015-2-14 21:17:02    创建文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\6107710c.bat
规则: [应用程序组]Virus TEST -> [文件组]所有执行文件 -> [文件]*; *.bat

2015-2-14 21:18:26    创建文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\WINDOWS\system32\pchsvc.dll
规则: [应用程序组]Virus TEST -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2015-2-14 21:19:07    创建文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\WINDOWS\system32\pchsvc.dll
规则: [应用程序组]Virus TEST -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2015-2-14 21:19:16    安装驱动程序或服务    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: %SystemRoot%\System32\Svchost.exe -k netsvcs
规则: [应用程序组]Virus TEST

2015-2-14 21:19:23    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4
规则: [应用程序]c:\windows\system32\services.exe -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2015-2-14 21:19:27    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\Type
值: 0x00000020(32)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:19:30    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\Start
值: 0x00000002(2)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2015-2-14 21:19:37    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\ErrorControl
值: 0x00000001(1)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:19:44    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\ImagePath
值: %SystemRoot%\System32\Svchost.exe -k netsvcs
规则: [应用程序]c:\windows\system32\services.exe -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2015-2-14 21:19:49    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\DisplayName
值: 6to4
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:19:53    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\Security
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:19:57    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\Security\Security
值: 01 00 14 80 90 00 00 00 9c 00 00 00 14 00 00 00 30 00 00 00 02 00 1c 00 01 00 00 00 02 80 14 00 ff 01 0f 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 fd 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 ff 01 0f 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 00 00 14 00 8d 01 02 00 01 01 00 00 00 00 00 05 0b 00 00 00 00 00 18 00 fd 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 01 01 00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:20:00    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\ObjectName
值: LocalSystem
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:20:03    创建注册表项    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\Parameters
规则: [应用程序组]Virus TEST -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*

2015-2-14 21:20:06    修改注册表值    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\Parameters\ServiceDll
值: C:\WINDOWS\system32\6to4.dll
规则: [应用程序组]Virus TEST -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ServiceDll

2015-2-14 21:20:13    创建文件    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: C:\WINDOWS\system32\6to4.dll
规则: [应用程序组]Virus TEST -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2015-2-14 21:20:37    安装驱动程序或服务 (11)    允许
进程: f:\downloads\测试6\xxx\鬼影7密码：xxbug\xxx.exe
目标: %SystemRoot%\System32\Svchost.exe -k netsvcs
规则: [应用程序组]Virus TEST

【以下略】

lifan88

Darkei 发表于 2015-2-14 12:38
我另外一台电脑就是中的这个东西，我重置MBR没效果，重启还是一样的，格式化也没用，填零 ...

你逗我呢？鬼影不是TDL系列，也不是ROVNIX系列，这些系列才能做到实际意义上的实际存在的文件，仅靠存在于类似内存一样的东西（我也不懂那是什么鬼）和MBR或VBR就可以正常运作。而鬼影系列都需要实际存在的文件来支持它本身。

正如你遇到一个感染性的毒，它感染了你的文件，你光是杀掉病毒的主体而不去处理被感染的文件，那样也是徒劳的