精睿包中发现一枚ZeroAccess【MA ESET 黑寡妇迈克菲卡巴，双击大战ZeroAccess变种】

显示全部楼层 · 发表于 2015-7-10 18:59:32

vm001 发表于 2015-7-10 18:40
小锁子那个不是感染，是修改文件权限..
至感染一个系统文件，window下还看不出来...这个你能在windos ...

是的，系统驱动并不是全部被感染，是被锁定了，不过其中好像有个别的被篡改了。

不可思议的是黑寡妇居然解决了，PC Hunter没有发现ZeroAccess的存在，不可思议呀

显示全部楼层 · 发表于 2015-7-10 19:35:43

驭龙发表于 2015-7-10 15:55
赶紧急救吧，基本上系统已经废了，你运行PC Hunter就明白了，见1楼

会影响实机吗？我用的vmware。。。

主要是我用npe也没扫出来（开了扫rootkits），所以我就恢复快照了。。。

显示全部楼层 · 发表于 2015-7-10 19:50:21

胖福发表于 2015-7-10 16:48
难怪诺顿不敢动这个驱动！

估计信誉都信任了吧。。。

显示全部楼层 · 发表于 2015-7-10 19:52:30

pal家族发表于 2015-7-10 17:56
ZeroAccess.exe - Trojan.Win32.FakeAV.aimq

At the moment this file is detected with the latest ant ...

没捕捉到不应该呀

显示全部楼层 · 发表于 2015-7-10 19:53:16

驭龙发表于 2015-7-10 18:59
是的，系统驱动并不是全部被感染，是被锁定了，不过其中好像有个别的被篡改了。

不可思议的是黑寡妇居 ...

果然drweb的修复和清除不是盖的。这也是他们引以为傲的。。。

显示全部楼层 · 发表于 2015-7-10 20:15:21

bbszy 发表于 2015-7-10 19:50
估计信誉都信任了吧。。。

md5不对的话应该会报的……

显示全部楼层 · 发表于 2015-7-10 20:18:38

bbszy 发表于 2015-7-10 19:35
会影响实机吗？我用的vmware。。。

主要是我用npe也没扫出来（开了扫rootkits），所以我就恢复快照了 ...

实机没问题的，因为我实机是MA，监控全开，没有发现Sirefef，所以实机没问题的，不会被感染

显示全部楼层 · 发表于 2015-7-10 20:21:08

驭龙发表于 2015-7-10 20:18
实机没问题的，因为我实机是MA，监控全开，没有发现Sirefef，所以实机没问题的，不会被感染

我也不知道是不是病毒在虚拟机没运行起来。。。

我虚拟机是win8.1 x64，就装了个趋势

然后实机用的诺顿，全程也没有反应

显示全部楼层 · 发表于 2015-7-10 20:21:20

bbszy 发表于 2015-7-10 19:53
果然drweb的修复和清除不是盖的。这也是他们引以为傲的。。。

是啊，DPH都可以回滚威胁，只可惜无法二次触发DPH，这个问题DrWeb 9的时候就有，一个样本无法多次触发DPH，无法理解

显示全部楼层 · 发表于 2015-7-10 20:22:15

bbszy 发表于 2015-7-10 20:21
我也不知道是不是病毒在虚拟机没运行起来。。。

我虚拟机是win8.1 x64，就装了个趋势

如果运行的话，它是会自我删除的

[其他相关] 精睿包中发现一枚ZeroAccess【MA ESET 黑寡妇 迈克菲 卡巴，双击大战ZeroAccess变种】