启动SVCHOST，利用svchost写入启动文件夹……过SSF（卤煮基于某些人的测试亲自开撸）

显示全部楼层 · 发表于 2015-12-20 14:18:40

本帖最后由 ELOHIM 于 2015-12-20 14:21 编辑

国外好像不多。

反病毒软件	结果	病毒库日期
瑞星（Rising）	PE:Malware.Generic(Thunder)!1.A1C4	2015-12-20
大蜘蛛（Dr.Web）	Trojan.Encoder.3292	2015-12-20
360（Qihoo 360）	QVM11.1.Malware.Gen	2015-12-20
GDATA	Trojan.Generic.15475764	2015-12-20

显示全部楼层 · 发表于 2015-12-20 14:56:09

本帖最后由 nick20010117 于 2015-12-20 15:25 编辑

@aboringman @yuzhi3366853

显示全部楼层 · 发表于 2015-12-20 15:03:32

允许以后没看见写入启动项，svchost退出，启动项看了没有啊

显示全部楼层 · 发表于 2015-12-20 15:35:12

nick20010117 发表于 2015-12-20 14:56
@aboringman @yuzhi3366853

居然用上了微点，好吧。
话说微点不是已经。。。。。。

显示全部楼层 · 发表于 2015-12-20 15:47:22

nick20010117 发表于 2015-12-20 14:56
@aboringman @yuzhi3366853

微点防敲诈有点弱的...

显示全部楼层 · 发表于 2015-12-20 16:31:35

扫描报，主防杀

显示全部楼层 · 发表于 2015-12-20 16:35:27

AVIRA：killed by APC

Type: File
Source: C:\Users\killer\Desktop\6dbb913a9c28a63bb81a86bc483341246536f97aa71cd7620f28261a06ff2d7b.exe
Status: Infected
Quarantine object: 73f39aa9.qua
Restored: NO
Uploaded to Avira: NO
Operating system: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.03.34.102
Virus definition file: 8.12.38.154
Detection: TR/Dropper.Gen (Cloud)
Date/Time: 2015/12/20, 16:33

显示全部楼层 · 发表于 2015-12-20 16:42:10

电脑发烧友发表于 2015-12-20 13:34
早就检查过了，没有

哎，不想说什么了，样本区到处都是像你这样的测试

1、这是最后一步，之前的截图已经被加密了，至于为什么没拦截到，估计是svchost联网ssf是不拦截的，但是这个svchost已经被注入修改了。所以之前的写入启动文件夹的行为截图看不到了，等会我重新再来一次

2、这两张截图是给你们看看文档、压缩包、图片被加密的情形

3、最变态最让人无法接受的是黑阔大大居然把我的东京热桌面背景给换掉了，这一点我给负分滚粗！！！！

显示全部楼层 · 发表于 2015-12-20 17:02:14

ESET 不杀。 18号的病毒库

允许执行

如果拦截将没有以下操作，允许

阻止

阻止

居然先从我G盘开始下手。。阻止

阻止

阻止

文件太多。阻止的手软，只好终止结束经常。

第二次打开，打不开了。

清理一下temp缓存，结果又能继续撸了

这次多创建几个文件试试看看，允许

允许

扩展名改了，但是内容没被加密。。难道是全部先修改扩展后再回来加密？
文件太多。阻止结束了

再看看其他文件还是安然无恙没有被加密

防御成功

显示全部楼层 · 发表于 2015-12-20 17:06:45

lixihong10 发表于 2015-12-20 17:02
ESET 不杀。 18号的病毒库

允许执行

你被修改的文档图片还可以恢复吗？我恢复不了呢？

[可疑文件] 启动SVCHOST，利用svchost写入启动文件夹……过SSF（卤煮基于某些人的测试亲自开撸）

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分

还以为中毒了，聊着聊着QQ突然不见了~

本帖子中包含更多资源

评分