呼唤双击敢死队，谁来双击玩这个Zbot！GO 变种，切记，请不要实机测试

230f4

nick20010117 发表于 2015-12-1 22:03
@aboringman
FS的双击实在是比AVG无聊多了
修改MD5后双击

各家主防有各的特点

太极伞

虚拟机昨天挂了，windows10还是不行

dd0616

不知道你们在说什么鸟语

lixihong10

故事的开端：实机双击。











一直读进程内存~~~~~


读完就添加启动项


联网操作






继续添加启动。。。。。



详细内容：

liulangzhecgr

win7 X 32  applocker 之下 貌似无力运行...

2015/12/2 16:13:36    创建新进程    允许
进程: c:\windows\explorer.exe
目标: g:\download\pdf\pdf.exe
命令行: "G:\Download\pdf\pdf.exe"
规则: [应用程序]*

2015/12/2 16:13:59    修改注册表值    阻止
进程: g:\download\pdf\pdf.exe
目标: HKEY_CURRENT_USER\Software\SogouInput.user\SogouComponentFirstLoad
值: 0x565ea839(1449044025)
规则: [应用程序组]病毒测试 -> [注册表]*

2015/12/2 16:14:07    创建文件夹    允许
进程: g:\download\pdf\pdf.exe
目标: C:\Users\Administrator\AppData\Roaming\Cyhib
规则: [应用程序组]病毒测试 -> [文件]*

2015/12/2 16:14:13    修改文件    阻止
进程: g:\download\pdf\pdf.exe
目标: C:\Users\Administrator\AppData\LocalLow\SogouPy\verify.ini
规则: [应用程序组]病毒测试 -> [文件]*

2015/12/2 16:14:33    创建文件    允许
进程: g:\download\pdf\pdf.exe
目标: C:\Users\Administrator\AppData\Roaming\Cyhib\kaby.exe
规则: [应用程序组]病毒测试 -> [文件]*

2015/12/2 16:14:42    创建注册表项    允许
进程: g:\download\pdf\pdf.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Saodekwuyq
规则: [应用程序组]病毒测试 -> [注册表]*

2015/12/2 16:15:17    创建文件    允许
进程: g:\download\pdf\pdf.exe
目标: C:\Users\Administrator\AppData\LocalLow\kaudi.onl
规则: [应用程序组]病毒测试 -> [文件]*

2015/12/2 16:15:29    创建文件    允许
进程: g:\download\pdf\pdf.exe
目标: C:\Users\Administrator\AppData\Local\Temp\UYU34FC.bat
规则: [应用程序组]病毒测试 -> [文件]*

2015/12/2 16:16:00    创建新进程    允许
进程: g:\download\pdf\pdf.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\ADMINI~1\AppData\Local\Temp\UYU34FC.bat"
规则: [应用程序组]病毒测试 -> [子应用程序]*

2015/12/2 16:16:17    修改文件    阻止
进程: g:\download\pdf\pdf.exe
目标: C:\ProgramData\SogouInput\Components\Picface\Cloud\sgim_picface_cloud_bak.bin
规则: [应用程序组]病毒测试 -> [文件]*

2015/12/2 16:16:25    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: G:\Download\pdf\pdf.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

haoge250

pal家族 发表于 2015-12-1 16:13
不是我不想双击，是最近墨家的样本太多了，工作日实在没法双击了
而且我没有办法不让SW调用特征码。。。。

卡巴一但入库，除非全部关闭防护，不然各个防护都能单独联动杀。

pal家族

haoge250 发表于 2015-12-2 18:37
卡巴一但入库，除非全部关闭防护，不然各个防护都能单独联动杀。

好像我不知道一样。。。。。

Renascence

入库了的玩意儿

驭龙

Renascence 发表于 2015-12-2 19:31
入库了的玩意儿

哈，一年多的样本如果还不入库，那才是有问题，哈哈