很牛的一个银行签名免杀病毒！存在了几个月都没能杀掉它。

cwl12315

wjy19800315 发表于 2015-11-25 15:43
诺顿准备换卡巴了

双十一已经买了3年的卡巴，等MR1出来再去换

pal家族

25.11.2015 17.48.17;检测到的对象（文件）已删除。;D:\360安全浏览器下载\SERVER\SERVER\1\DBToken_ABC.dll;D:\360安全浏览器下载\SERVER\SERVER\1\DBToken_ABC.dll;UDS:DangerousObject.Multi.Generic;未知威胁;11/25/2015 17:48:17
中午上报的，已经拉黑组件了

hzz2009

毛豆沙盤沒什麼反應，應該是沒過默認規則

呼啸风影

胖福 发表于 2015-11-25 13:41
预言错了！诺顿SONAR module genX防不住这类木马！

为什么

asdx145266

g data双击

shadowqs

avast 毫无反应..点什么都是那个DNF的图片...
是不是我已经中毒了呀...

中毒了已经,只能根据兄弟们给出的截图手动删除..

吓的我已经换AVG啦...

小A他MD安静是安静..安静久了也他妈的好费啊..

这技术厉害那技术厉害的.一个都没拦住...日

来点厉害的各种躺.

yuzhi3366853

shadowqs 发表于 2015-11-25 19:50
avast 毫无反应..点什么都是那个DNF的图片...
是不是我已经中毒了呀...

avast主防很弱的，还是沙盘运行吧

shadowqs

yuzhi3366853 发表于 2015-11-25 20:20
avast主防很弱的，还是沙盘运行吧

在线安装也是慢的够了..

下载了200多MB的离线安装包

在过期的病毒库支持下成功拦截问题文件.

完胜小A..而且还是免费版的.我就不说啥了..已转粉.

sanhu35

另一个白+黑   简单行为。








2015-11-25 21:17:22    创建文件夹    阻止
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\Program Files\limit
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-25 21:17:22    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\WINDOWS\QQ图片20150725114814.jpg
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-25 21:17:22    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-25 21:17:22    创建文件夹    阻止
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\WINDOWS\limit
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-25 21:17:22    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件组]只读磁盘 -> [文件]c:\*





======================================

详细点

加载黑DLL
2015-11-25 21:18:42    加载动态链接库    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: c:\documents and settings\administrator\桌面\server\server\1\dbtoken_abc.dll
规则: [应用程序组]『询问』病毒测试 -> [动态链接库].\*

创建第一个EXE
2015-11-25 21:19:10    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: c:\program files\limit\crossfire.exe
命令行: "C:\Program Files\limit\crossfire.exe"
规则: [应用程序组]『询问』病毒测试

要显示的装备图片





2015-11-25 21:19:10    创建文件    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\WINDOWS\QQ图片20150725114814.jpg
规则: [应用程序组]『询问』病毒测试 -> [文件]*

修改IE浏览器安全区域设置
2015-11-25 21:19:19    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\95599.sh.cn\www\http
值: 0x00000002(2)
规则: [应用程序组]『询问』病毒测试 -> [注册表]*





2015-11-25 21:19:22    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\95599.cn\www\http
值: 0x00000002(2)
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2015-11-25 21:19:25    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: D:\My Documents
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2015-11-25 21:19:42    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fd8f0176-638a-11e5-aa5b-806d6172696f}\BaseClass
值: Drive
规则: [应用程序组]『询问』病毒测试 -> [注册表]*


创建真正盗号 键盘记录的exe
2015-11-25 21:21:48    创建文件    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\WINDOWS\limit\dllhost.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]保护系统文件

2015-11-25 21:21:57    创建文件    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\WINDOWS\limit\config.dat
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2015-11-25 21:22:04    创建文件    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\WINDOWS\limit\DBToken_ABC.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]保护系统文件

2015-11-25 21:22:12    创建文件    允许
进程: c:\documents and settings\administrator\桌面\server\server\1\inst.exe
目标: C:\WINDOWS\limit\load.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]保护系统文件

2015-11-25 21:22:33    修改文件    允许
进程: c:\windows\limit\dllhost.exe
目标: C:\Program Files\limit\crossfire.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]保护高危文件

2015-11-25 21:22:42    访问网络    允许
进程: c:\windows\limit\dllhost.exe
目标: TCP [本机 : 1404] ->  [183.0.4.194 : 8888]
规则: [应用程序组]『询问』病毒测试 -> [网络组]所有网络

2015-11-25 21:22:45    访问网络    允许
进程: c:\windows\limit\dllhost.exe
目标: TCP [本机 : 1403] ->  [0.0.0.0 : 0]
规则: [应用程序组]『询问』病毒测试 -> [网络组]所有网络

2015-11-25 21:22:58    底层键盘操作    阻止
进程: c:\windows\limit\dllhost.exe
规则: [应用程序组]『询问』病毒测试




监听网络 保存修改 记录到的键盘数据
2015-11-25 21:23:09    访问网络    允许
进程: c:\windows\limit\dllhost.exe
目标: TCP [本机 : 1412] ->  [183.0.4.194 : 8888]
规则: [应用程序组]『询问』病毒测试 -> [网络组]所有网络

2015-11-25 21:23:49    创建文件    允许
进程: c:\windows\limit\dllhost.exe
目标: C:\WINDOWS\system32\Windows.key
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2015-11-25 21:24:10    修改文件 (3)    允许
进程: c:\windows\limit\dllhost.exe
目标: C:\WINDOWS\system32\Windows.key
规则: [应用程序组]『询问』病毒测试 -> [文件]*

剩余的几个exe作用不明显


火绒的拦截

yuzhi3366853

shadowqs 发表于 2015-11-25 21:16
在线安装也是慢的够了..

下载了200多MB的离线安装包

各花入各眼，可能用段时间你会发现AVG也并不是那么好呢