再来一波KB家族，10个

显示全部楼层 · 发表于 2016-1-9 01:44:07

本帖最后由综合症初期患者于 2016-1-9 01:57 编辑

除了前两个之外，其他的行为似乎比较千篇一律？

在WinXP下测试了一下Outpost Firewall Pro，除了前两个样本之外，其他的样本看上去都是统一的两步动作：

先是写入启动项
然后注入Explorer

如果这两步都是Deny，那么启动项&服务项不会受到影响（通过msconfig确认的...），只剩下一个Process在那里跑，可以简单kill掉
如果选择的是Terminate，那么连Process也不会剩下

第一个样本可以捕捉到四步动作：

注入Explorer
写入启动项
执行Explorer.exe
查询DNS

这是四步全点击Deny的时候会跑出来的动作，不过我想正常人应该会在第二步就直接Terminate了...
全部Deny的话，同样是只剩下一个Process在那里，启动项&服务项不受影响...
Terminate的话，Process也会被干掉...

第二个样本...没能成功捕捉到动作...

显示全部楼层 · 发表于 2016-1-9 03:33:49

ESET 9/9
第五个下不下来，应该也是通杀

显示全部楼层 · 发表于 2016-1-9 06:17:17

BD全部block

但怎么是一个名字

Bitdefender blocked this page
The page you are trying to access contains Gen:Variant.Mikey.29911.

显示全部楼层 · 发表于 2016-1-9 13:17:44

欧阳宣发表于 2016-1-9 01:13
喜大普奔，终于全家族过了百度

过一天就不行了

显示全部楼层 · 发表于 2016-1-9 13:20:52

综合症初期患者发表于 2016-1-9 01:44
除了前两个之外，其他的行为似乎比较千篇一律？

在WinXP下测试了一下Outpost Firewall Pro，除了前两个 ...

又是XP又是32，你是来踢馆的么？

显示全部楼层 · 发表于 2016-1-9 19:46:58

第一个崩溃了
第二个崩溃
第三个崩溃
第四个DG拉黑
第五个DG拉黑
第六个DG拉黑
第七个崩溃
第八个拉黑
第九个拉黑
第十个拉黑

显示全部楼层 · 发表于 2016-1-9 22:44:39

本帖最后由 kxmp 于 2016-1-9 23:28 编辑

我靠... 一上来就explorer...
阻止了他竟然跑别地方添加启动项...
看起来还是隐藏进程... 老版本powertool还看不到他.
pchunter倒可以...
奇怪.. .
pt看到的是原进程 ph看到的是真文件的进程
2个pid都一样

桌面被关闭... 卡住了
然后自动重启...

显示全部楼层 · 发表于 2016-1-13 16:44:38

KB家族是啥来历？

[可疑文件] 再来一波KB家族，10个

本帖子中包含更多资源