启动SVCHOST，利用svchost写入启动文件夹……过SSF（卤煮基于某些人的测试亲自开撸）

显示全部楼层 · 发表于 2015-12-20 17:08:04

本帖最后由 lixihong10 于 2015-12-20 17:09 编辑

墨家小子发表于 2015-12-20 17:06
你被修改的文档图片还可以恢复吗？我恢复不了呢？

不造为啥。他加密失败了。。。

神奇的电脑

看图

显示全部楼层 · 发表于 2015-12-20 17:10:09

lixihong10 发表于 2015-12-20 17:02
ESET 不杀。 18号的病毒库

允许执行

对了，你桌面背景被换了没？

显示全部楼层 · 发表于 2015-12-20 17:11:25

lixihong10 发表于 2015-12-20 17:08
不造为啥。他加密失败了。。。

神奇的电脑

我桌面背景被换了，还同步了，

显示全部楼层 · 发表于 2015-12-20 17:13:45

墨家小子发表于 2015-12-20 17:11
我桌面背景被换了，还同步了，

没有被替换。

显示全部楼层 · 发表于 2015-12-20 17:21:23

yzt1004 发表于 2015-12-20 15:03
允许以后没看见写入启动项，svchost退出，启动项看了没有啊

你的HMPA拦截了没有？我这里毫无反应

显示全部楼层 · 发表于 2015-12-20 17:27:40

lixihong10 发表于 2015-12-20 17:02
ESET 不杀。 18号的病毒库

允许执行

估计是svchost修改注册表那几个行为被你的毛豆拦截了所以才没有被加密，你放行那个注册表行为试试看

显示全部楼层 · 发表于 2015-12-20 17:29:13

墨家小子发表于 2015-12-20 17:27
估计是svchost修改注册表那几个行为被你的毛豆拦截了所以才没有被加密，你放行那个注册表行为试试看[:01: ...

你5点发的那个，诺顿解压就杀了

显示全部楼层 · 发表于 2015-12-20 17:31:41

墨家小子发表于 2015-12-20 17:27
估计是svchost修改注册表那几个行为被你的毛豆拦截了所以才没有被加密，你放行那个注册表行为试试看[:01: ...

那几个是右键打开方式方面的。应该和这加密无关。我虚拟机再看看。

显示全部楼层 · 发表于 2015-12-20 17:36:45

NIS现在已入库，不试了

显示全部楼层 · 发表于 2015-12-20 18:17:17

lixihong10 发表于 2015-12-20 17:30
虚拟机下被替换了。

实机他是先从我的 G盘开始，修改文件内容太多就被我阻止并终止，导致桌面 ...

是不是网络问题，你那里样本连不回去服务器，所以没有加密？

[可疑文件] 启动SVCHOST，利用svchost写入启动文件夹……过SSF（卤煮基于某些人的测试亲自开撸）