恶性敲竹杠！！千万不要实机运行！貌似改MBR，删除分区表！！

显示全部楼层 · 发表于 2015-10-16 22:06:57

翼风Fly 发表于 2015-10-16 21:53
确实反虚拟机
http://habo.qq.com/file/showdetail?pk=ADwGZF1uB2QIPA==
https://b-chao.com/index.php ...

我这里没问题，不过什么也没分析出来
http://fireeye.ijinshan.com/anal ... fa3385e7ae6ac408c75

显示全部楼层 · 发表于 2015-10-16 22:43:32

注册黑DLL

2015-10-16 22:24:18 创建新进程阻止
进程: c:\documents and settings\administrator\桌面\诛杀.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c regsvr32 "C:\Documents and Settings\Administrator\桌面\ZCB_API.DLL" /s
规则: [应用程序]* -> [子应用程序]『禁运』黑名单

显示全部楼层 · 发表于 2015-10-16 23:45:37

显示全部楼层 · 发表于 2015-10-16 23:51:03

lixihong10 发表于 2015-10-16 23:45

这个软件叫什么来着？一下没记起来

显示全部楼层 · 发表于 2015-10-17 00:01:48

pal家族发表于 2015-10-16 23:51
这个软件叫什么来着？一下没记起来

SSM

铁壳出品

显示全部楼层 · 发表于 2015-10-17 08:00:17

本帖最后由翼风Fly 于 2015-10-17 08:25 编辑

释放并添加隐藏属性：ZCB_API.DLL
125.77.22.152
http://www.84zcb.com/

大量修改内存/访问网络

首次运行正常
VBox扩展卸载后反而提示授权文件过期退出，不卸载可正常运行。。。= =
后来恢复镜像同样提示，看来是记录IP啥的了。。。

显示全部楼层 · 发表于 2015-10-17 08:23:12

夜微凉发表于 2015-10-16 17:52
报壳

你到底用卡巴还是费尔？

显示全部楼层 · 发表于 2015-10-17 08:33:36

skyboybone 发表于 2015-10-16 22:06
我这里没问题，不过什么也没分析出来
http://fireeye.ijinshan.com/analyse.html?md5=2a11a37fdb093c4dd ...

感觉近期火眼似乎有问题。。。总是遇到bug。。。。

显示全部楼层 · 发表于 2015-10-17 09:27:36

显示全部楼层 · 发表于 2015-10-17 10:40:54

不用MBR有一段时间了，应该不怕，除非他能修改EFI

[病毒样本] 恶性敲竹杠！！千万不要实机运行！貌似改MBR，删除分区表！！

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块