Detection ratio: 2 / 55 进挂马网页，抓了个活的（GD双击miss成功加密文件）

Miostartos

Renascence 发表于 2015-11-29 18:13
两个解压就秒杀了

才入库

墨家小子

pal家族 发表于 2015-11-29 18:55

啥意思？？？

pal家族

墨家小子 发表于 2015-11-29 19:17
啥意思？？？

你要的东西呀，压缩包里是被加密之后的宣传文件。61L那个

pal家族

墨家小子 发表于 2015-11-29 19:17
啥意思？？？

就是联网之后成功被加密的意思啦~~~
没开卡巴

墨家小子

pal家族 发表于 2015-11-29 19:23
就是联网之后成功被加密的意思啦~~~
没开卡巴

不开卡巴你玩什么啊 我晕

pal家族

墨家小子 发表于 2015-11-29 19:24
不开卡巴你玩什么啊 我晕

我以为你只是想让我感染一下。。。。。。。。。

墨家小子

pal家族 发表于 2015-11-29 19:28
我以为你只是想让我感染一下。。。。。。。。。

我是想看看卡巴主防能不能防御得了

pal家族

墨家小子 发表于 2015-11-29 19:29
我是想看看卡巴主防能不能防御得了

这个没法测试的，样本已经被拉黑了，即使是主防也会云查询，然后直接就杀掉样本了。
我之前关掉了卡巴云，结果尼玛还会出现云拉黑的报法，可能是虚拟机上一点bug。。。理论上不应该的
就只能断网测试了。

杀软神马

关闭 监控  只开其行为 防护
第一个 AVA 25.5066
GD 25.6131

*** 进程 ***

进程: 2948
文件名: b851.tmp.exe
路径: c:\users\沙勇军\desktop\b851.tmp.exe

发行商：: 未知发行商
创建日期: 01/03/16 05:20:35
修改日期: 11/29/15 04:05:24

启动进程：: start.exe
发行商：: Invincea, Inc.


*** 操作 ***

程序正试图建立自启动项，以在系统启动时自动运行。
程序已创建或已操作可执行文件。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\沙勇军\Desktop\B851.tmp.exe
c:\sandbox\沙勇军\defaultbox\user\current\appdata\roaming\912d5\939637fb3c.exe
c:\sandbox\沙勇军\defaultbox\user\current\desktop\b851.tmp.exe

下列注册表项被删除：

\registry\user\sandbox_沙勇军_defaultbox\machine\software\wow6432node\microsoft\windows nt\currentversion\systemrestore || disablesr
\registry\user\sandbox_沙勇军_defaultbox\user\current\software\microsoft\windows\currentversion\run || 912d5

YGLRmnIHLCcpJiYnCS0nKCYmJwguJ2fKcoInJ2e4gC4nKCYmJwi5YtGa0pAtJwjpcoJiYnKCoCwnKCYmJwibcnJiYnJywC8nKCYmJwiNcoJiYnKCcKdygnD3cnJiYnJycLlycmJicnJwuoLBWGPGgpKBXGO2coLBWGPGcnDacnJiYnJycPxygmJicoJwjnJycJ5yciwnt3JycN5ycmJicnJwr3JyYmJycoCWcoIAAA
规则版本： 5.0.77
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 64bit OS
DLL版本： 55982

"C:\Users\沙勇军\Desktop\B851.tmp.exe"
MD5: 97153530FB02AB92F7148DD5186DD6D5
"C:\Program Files\Sandboxie\Start.exe" /env:00000000_SBIE_CURRENT_DIRECTORY="C:\Users\沙勇军\Desktop" /env:=Refresh /elevate "C:\Users\沙勇军\Desktop\B851.tmp.exe"
MD5:


第二个
AVA 25.5066
GD 25.6131

*** 进程 ***

进程: 8920
文件名: c0d4.tmp.exe
路径: c:\users\沙勇军\desktop\c0d4.tmp.exe

发行商：: 未知发行商
创建日期: 01/03/16 05:20:44
修改日期: 11/29/15 04:07:37

启动进程：: start.exe
发行商：: Invincea, Inc.


*** 操作 ***

病毒扫描程序已检测出此文件是恶意程序。
程序文件被误导性命名以欺骗用户（例如：Image.jpg.exe）
一个未知进程访问了。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\沙勇军\Desktop\C0D4.tmp.exe

下列注册表项被删除：


YHJyCS4naHKCJiYGLycnJycmBodycnJyYmJwKnRyQicnJga3cnJycmJikCsnC+lycmJicnKgLCcnJiYnB5tycmJicnLAKicnJycmBo1ycmJicnJwupKBXGO2cpKBXGO2cmJicPtycnJyYmJw/HJyYmJycnCOcsJwnnJyKye3YmJwj3JygJZycgAA
规则版本： 5.0.77
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 64bit OS
DLL版本： 55982

"C:\Users\沙勇军\Desktop\C0D4.tmp.exe"
MD5: 97153530FB02AB92F7148DD5186DD6D5
"C:\Program Files\Sandboxie\Start.exe" /env:00000000_SBIE_CURRENT_DIRECTORY="C:\Users\沙勇军\Desktop" /env:=Refresh /elevate "C:\Users\沙勇军\Desktop\C0D4.tmp.exe"
MD5:




然而并没有加密

墨家小子

杀软神马 发表于 2016-1-3 13:24
关闭 监控  只开其行为 防护
第一个 AVA 25.5066
GD 25.6131

最新版就可以得瑟吗？
http://bbs.kafan.cn/forum.php?mo ... 39&pid=36417360