恶意病毒，完过360网购无提示

学雷锋做人

XywCloud 发表于 2015-8-14 11:52
那个是被利用的白文件【杀软要是杀那个的话就麻烦大了】，真正作恶的是黑DLL，也就是那个wcool.wc【它是D ...

哇，你好棒！

学雷锋做人

租车司机 发表于 2015-8-14 11:55
我可以告诉你，它杀这个文件没用，作者只要再改下代码，就会免了。把那个核心签名alicert给杀了才行！

你确定你回复对人了吗

租车司机

XywCloud 发表于 2015-8-14 11:52
那个是被利用的白文件【杀软要是杀那个的话就麻烦大了】，真正作恶的是黑DLL，也就是那个wcool.wc【它是D ...

我也知道是个难事，要杀最好，要不怎么杀都是白杀，就杀那个签名才有用！

学雷锋做人

租车司机 发表于 2015-8-14 11:55
我可以告诉你，它杀这个文件没用，作者只要再改下代码，就会免了。把那个核心签名alicert给杀了才行！

你不会连VT都不知道什么吧，怎么可能有全杀的杀软，每天成千上万的样本被入库，这就是矛和盾的攻守，白加黑的话，你杀白是不对的，白是只有在被黑利用的情况下才是危险的，那么它正常调用自身安全的文件，你这时候杀白了，用户不会怪你？每个用户的电脑上都有白加黑吗？你不考虑杀白导致白加白无法运行的后果吗？现在主要是靠软件厂商自身对DLL的验证，光靠杀软是止不住的

电脑发烧友

火绒扫描不杀。
双击测试。两个都双击。

操作程序：C:\Users\wuliao\Desktop\tupian(1)\wcool.wc
触犯规则：★★风险★★新的程序将创建，若没有在删除安装更新建议结束进程
用户操作：已忽略
操作类型：创建
操作文件：C:\Users\wuliao\AppData\Roaming\alicert.exe

风险进程：C:\Windows\system32\advpack.dll
风险动作：修改启动项
用户操作：已阻止
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\MSUpdate

完成如上操作后。
同时，联网控制弹窗询问。

重启，并没有被添加启动项。

完毕。

ELOHIM

卡布达 发表于 2015-8-14 10:14

hello ,你有虚拟机吗、
在虚拟机双击试试，以前这样的双击SCEP会杀掉的。

卡布达

ELOHIM 发表于 2015-8-14 13:40
hello ,你有虚拟机吗、
在虚拟机双击试试，以前这样的双击SCEP会杀掉的。

没反应想单奔WD还是不行额，还好最近不网购了

ELOHIM

卡布达 发表于 2015-8-14 14:20
没反应想单奔WD还是不行额，还好最近不网购了

一会我来试试

白露为霜

学雷锋做人 发表于 2015-8-14 10:06
本图为VT第一时间扫描结果

不如去测下反黑。

记忆残缺

为什么和alicert文件有联系？