测测主防（请勿实机运行）

cwl12315

lixihong10 发表于 2015-11-18 20:26
问题事件名称:        APPCRASH
  应用程序名:        egui.exe
  应用程序版本:        8.0.312.0

这玩意的衍生物是AV终结者，可不是要崩

zy373779171

竟然看到了AVG

So_indigo

好可怕 等虚拟机test吧

尘梦幽然

[mw_shl_code=css,true]Assessment
File1:        hfvhgygugh.exe
MD5:        0x065D86547521B7E0703AFEE1C4F50E38
SHA-1:        0x948129AE42D7773AB6711CDFDDC6CA774AD0AECD
Machine:        Machine
Determination:        NewThreat
Submission Detail:        This file is detected as W32.Pagipef.I!inf with our existing Rapid Release definition set. Protection is available in Rapid Release definitions with a sequence number of 169842 or greater.
Signature Protection Name:        W32.Pagipef.I!inf
Rapid Release Sequence Number:        169842

This message was generated by Symantec Security Response automation.[/mw_shl_code]

liulangzhecgr

2015/11/19 17:34:37    创建新进程    允许
进程: c:\windows\explorer.exe
目标: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
命令行: "G:\Download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe"
规则: [应用程序]*

2015/11/19 17:35:05    修改注册表值    阻止
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: HKEY_CURRENT_USER\Software\SogouInput.user\SogouComponentFirstLoad
值: 0x564d97b5(1447925685)
规则: [应用程序组]病毒测试 -> [注册表]*

2015/11/19 17:35:17    修改文件    阻止
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: C:\Users\Administrator\AppData\LocalLow\SogouPy\verify.ini
规则: [应用程序组]病毒测试 -> [文件]*

2015/11/19 17:36:15    创建文件夹    允许
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: C:\Users\Administrator\AppData\Local\Temp\RarSFX0
规则: [应用程序组]病毒测试 -> [文件]*

2015/11/19 17:36:31    创建文件    允许
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: C:\Users\Administrator\AppData\Local\Temp\RarSFX0\Setup.exe
规则: [应用程序组]病毒测试 -> [文件]*

2015/11/19 17:38:12    修改文件    允许
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: \Device\NamedPipe\srvsvc
规则: [应用程序组]病毒测试 -> [文件]*

2015/11/19 17:38:20    访问COM接口    阻止
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: {9E175B6D-F52A-11D8-B9A5-505054503030} Search Gatherer Notification
规则: [应用程序组]病毒测试 -> [COM接口]*

2015/11/19 17:38:34    修改文件    阻止
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: C:\ProgramData\SogouInput\Components\Picface\Cloud\sgim_picface_cloud_bak.bin
规则: [应用程序组]病毒测试 -> [文件]*

2015/11/19 17:38:43    创建文件    允许
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: C:\Users\Administrator\AppData\Local\Temp\ud2C370.tmp
规则: [应用程序组]病毒测试 -> [文件]*

2015/11/19 17:38:47    创建文件    允许
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: C:\Users\Administrator\AppData\Local\Temp\E7F1.tmp
规则: [应用程序组]病毒测试 -> [文件]*

2015/11/19 17:38:53    创建文件    允许
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: C:\Users\Administrator\AppData\Local\Temp\ud2F673.tmp
规则: [应用程序组]病毒测试 -> [文件]*

2015/11/19 17:38:58    创建文件    允许
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: C:\Users\Administrator\AppData\Local\Temp\10A8.tmp
规则: [应用程序组]病毒测试 -> [文件]*

2015/11/19 17:39:03    创建文件    允许
进程: g:\download\bouiyhgfd\bouiyhgfd\hfvhgygugh.exe
目标: C:\Users\Administrator\AppData\Local\Temp\tempfastpassport.ini
规则: [应用程序组]病毒测试 -> [文件]*


被applocker 阻止运行...!

viycc

小白来玩一下。。。
小a解压即报毒。

hup

火绒主防一直杀它的衍生物，一直报毒杀不干净

EnZhSTReLniKoVa

幽冥の龙

cwl12315 发表于 2015-11-18 22:52
衍生物报Trojan:Win32/Killav.gen!A
费尔关闭实时防御，双击样本，被Kill，已经打不开了。
windows defen ...

费尔动态防御能过的真不多啊 0.0

cwl12315

幽冥の龙 发表于 2015-11-23 10:38
费尔动态防御能过的真不多啊 0.0

不清楚是不是选择的只报告的原因，后来我看了动态防御日志，有相关内容。
所以我猜测可能是样本枚举杀窗口，导致处理选项弹不出来。
今天驭龙不是发了个kiilAV吗，等回家时改成动态防御自动处理试试，顺便把这个也再试试。