遇到了一个很牛X的病毒，删除系统，开不了机，金山扫描未报毒

じ☆ve楓少ツ

尘梦幽然 发表于 2015-7-4 17:23
报告楼主，这东西绝对不简单。心也是够狠的！

SEP 第一张图是双击后的拦截图？

尘梦幽然

じ☆ve楓少ツ 发表于 2015-7-4 19:21
SEP 第一张图是双击后的拦截图？

嗯(′-ω-`)

agwlg

刚刚测试，此毒已穿透影子系统。影子保护模式下运行，直接黑屏，开不了机。雨过天晴也已残。

EnZhSTReLniKoVa

agwlg 发表于 2015-7-4 19:24
刚刚测试，此毒已穿透影子系统。影子保护模式下运行，直接黑屏，开不了机。雨过天晴也已残。

所以 选择 好点杀软 是不错的选择

AnonymousM

用SSF拦截的行为都在下面了，基本上都是往Windows文件夹里写入衍生物，它的进程内存占用很大，有点卡，不断弹窗提示读取引导扇区失败

我看前面的双击党们好像都报的有注册表修改，我这里没有，估计是SSF漏了

另外严重怀疑这货是不是反虚拟机，不管开没开SSF，好像都没有破坏引导的动作，多次重启正常进入系统

我一会儿实机切到Win8.1下双击试试

========重新编辑一下========
刚才Win8.1下双击了，依然没有黑屏之类的现象，，，，不知道是不是我忽略了什么，应该没有反虚拟机，所以纠正我上面说的

agwlg

AnonymousM 发表于 2015-7-4 19:58
用SSF拦截的行为都在下面了，基本上都是往Windows文件夹里写入衍生物，它的进程内存占用很大，有点卡，不断 ...

你运行完了没黑屏吗我是不装杀软测还原软件。

agwlg

我是XP环境,我也去装个WIN8试试。

pal家族

win8.1 64 NIS2205124

文件名: 锁机.exe
威胁名称: SONAR.Heuristic.132完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2015/7/4 ( 20:15:02 )

上次使用时间 
2015/7/4 ( 20:15:02 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


锁机.exe 威胁名称: SONAR.Heuristic.132
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
锁机.exe

____________________________

文件操作

文件: c:\users\xzz\desktop\ 锁机.exe 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\xzz\desktop\锁机.exe, PID:2320) 未采取操作
事件: PE 文件创建: c:\users\xzz\desktop\ hook.dll (执行者 c:\users\xzz\desktop\锁机.exe, PID:2320) 未采取操作
事件: 进程启动: c:\users\xzz\desktop\ 锁机.exe, PID:2320 (执行者 c:\users\xzz\desktop\锁机.exe, PID:2320) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用
@驭龙 @尘梦悠然

请叫我德玛西亚

pal家族 发表于 2015-7-4 16:21
流氓性质恶意程序！
NIS miss，没有双击条件

万物杀 哈哈哈

pal家族

请叫我德玛西亚 发表于 2015-7-4 20:19
万物杀 哈哈哈

请接着看完帖子