这个文件好像反vm 跑不了 火眼 文件B超跑出来了

学雷锋做人

在这里说下，这个样本只是反VMware虚拟机，如果它没有检测哈勃、B超、火眼或者其他虚拟机的代码，那就能够在相关虚拟机里正常运行，用反虚拟机来形容的话，这范围太广，希望能对言词有所修正！

ericdj

请叫我德玛西亚 发表于 2015-10-4 19:57
@ericdj @230f4 win10X64  小bd无反应 麻烦其他bd用户测试一下32的

不好意思，现在测试~~~~

直接双击入沙

BD表示，主防拦不住啊
所有截图~~

送信Y

fuzhk 发表于 2015-10-4 20:32
看见反VMware我VBox前来战斗

这个程序是流氓安装器

为么都是黑白的

hxdasdf

MXCERILYF! 发表于 2015-10-4 19:53
Norton：找不到任何威胁

McAfee：未检测到问题

norton 杀了

fuzhk

送信Y 发表于 2015-10-5 08:51
为么都是黑白的

挂起虚拟机再用实机截图的，挂起时虚拟机为了区分状态让画面黑白。

QQn1

eset 不杀，小动作真多啊，后台悄悄下载瑞星杀毒，还送一堆东西

1518589226

fuzhk 发表于 2015-10-4 22:32
看见反VMware我VBox前来战斗

这个程序是流氓安装器

怎么全是黑白的

小柯安全

XywCloud 发表于 2015-10-4 21:59
样本重复。

发重复了 和谁啊

XywCloud

小柯安全 发表于 2015-10-5 19:06
发重复了 和谁啊

我这边上一个采集的流氓软件下载器也在卡饭采集的，hash和你这个一致
具体地址实在是不记得了。

左手

2015-10-5 19:57:22    创建新进程    阻止
进程: c:\documents and settings\administrator\桌面\kilicjlbcad.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /C copy /b "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\KeLe2014Beta3.6.2Promote0714_20090195130.exe" + "C:\WINDOWS\Fonts\verdana.ttf" "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\KeLe2014Beta3.6.2Promote0714_20090195130.exe"
规则: [应用程序组]→终止_降权组件

2015-10-5 19:57:22    读文件    阻止
进程: c:\documents and settings\administrator\桌面\kilicjlbcad.exe
目标: C:\Documents and Settings\Administrator\Cookies\index.dat
规则: [文件组]木马防御_cookies -> [文件]c:\documents and settings\administrator\cookies; index.dat

2015-10-5 19:57:22    读文件    阻止
进程: c:\documents and settings\administrator\桌面\kilicjlbcad.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\Cookies\index.dat
规则: [文件组]木马防御_cookies -> [文件]c:\documents and settings\administrator\local settings\temp\cookies; index.dat

2015-10-5 19:57:22    创建文件    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\kilicjlbcad.exe
目标: C:\Documents and Settings\Administrator\桌面\Intenret Explorer.lnk
规则: [文件组]拦截_有关文件创建修改组 -> [文件]*; *.lnk