Detection ratio: 2 / 52 这种挂马让人惊恐啊，直接把木马弄到系统文件夹里去了

aboringman

墨家小子 发表于 2016-2-3 13:24
高级内存拦截之后，有没有发现注入情况？启动项什么的有没有异常？

没有注入，是衍生物自身试图联网（见BP报法），启动项无异常，杀得很干净。
[mw_shl_code=css,true]2016/2/3 12:38:43;Suspected botnet detected;192.168.1.102:54454;69.73.182.201:80;TCP;Win32/Filecoder.EM;C:\Users\kiiler\AppData\Roaming\cnwhnhe45.exe;kiiler-PC\kiiler[/mw_shl_code]

墨家小子

aboringman 发表于 2016-2-3 13:34
没有注入，是衍生物自身试图联网（见BP报法），启动项无异常，杀得很干净。
[mw_shl_code=css,true]20 ...

ESET真心不错，可以没有类似IPS那种东西，不然就完美了

aboringman

墨家小子 发表于 2016-2-3 13:36
ESET真心不错，可以没有类似IPS那种东西，不然就完美了

AMS实际能力还是太弱，刚才测试你的一个新样本时，没有清除干净，留下了衍生物的启动项，还好被我看见了。。。。。。
希望在下个版本EB会有提升，很不错的功能。

墨家小子

aboringman 发表于 2016-2-3 13:37
AMS实际能力还是太弱，刚才测试你的一个新样本时，没有清除干净，留下了衍生物的启动项，还好被我看见 ...

那个样本？勒索的？是不是启动那三个缴纳勒索赎金的东西？

aboringman

墨家小子 发表于 2016-2-3 13:42
那个样本？勒索的？是不是启动那三个缴纳勒索赎金的东西？

这个：http://bbs.kafan.cn/thread-1961588-1-1.html

BP和WP联手阻止，但由于AMS和监控被关闭，所以等于放过了衍生物。
忘说了，刚才测试这个样本时关闭了AMS后测试调出BP后，好像BP又启动了一次AMS进行清除，但上面那一次却没有。。。。。。

绅博周幸

Website blocked!

G DATA TOTAL SECURITY has denied access to this website.
The site contains infected code: Trojan.GenericKD.3001207 (Engine A).

aboringman

墨家小子 发表于 2016-2-3 13:42
那个样本？勒索的？是不是启动那三个缴纳勒索赎金的东西？

忘记说了，BP好象有跟AMS联动的迹象。在测试这个帖子的样本时，我忘记启动AMS便进行双击，后来BP居然与AMS一同出来阻止，有些奇怪。
但在测试你那个新样本时，却无法复现了。。。。。

墨家小子

****************** Sophos Anti-Virus 日志记录 - 2016/2/3 7:21:07 **************

    ...
20160203 072003        文件"C:\Users\AAAA\Desktop\TMP64B2\TMP64B2.exe"属于病毒/间谍软件 'HPmal/EccKrpt-B'。该进程已被中止。
20160203 072015        文件"C:\Users\AAAA\Desktop\TMP64B2\TMP64B2.exe"属于病毒/间谍软件 'HPmal/EccKrpt-B'。
20160203 072015        注册值"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin"属于病毒/间谍软件 'HPmal/EccKrpt-B'。
20160203 072021        文件"C:\Users\AAAA\Desktop\TMP64B2\TMP64B2.exe"已清除。
20160203 072021        注册值"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin"已清除。
20160203 072021        病毒/间谍软件 'HPmal/EccKrpt-B' 已删除。
20160203 072033        文件样本已顺利发送，Sophos Live Protection：
        文件：'C:\Users\AAAA\Desktop\TMP64B2\TMP64B2.exe'
        检查和：'68f11666a1efca9bc080d67c5776a95e093851f5.5'

nick20010117

猥琐大叔