鬼影4

微光丶

只下载了鬼影   解压杀

轩夏

猎豹 Win32.Troj.Generic_a.c.(kcloud)

wd
Trojan: Win32/Daiboo.A
类别: 特洛伊木马

描述: 这个程序很危险，而且执行来自攻击者的命令。

推荐的操作: 立即删除这个软件。

项目:
file:D:\AV终结者加壳版\AV终结者加壳版.exe

TrojanDropper: Win32/Wador.A
类别: 特洛伊木马植入程序

描述: 这个程序很危险，而且安装其他程序。

推荐的操作: 立即删除这个软件。

项目:
file:D:\AV终结者加壳版\鬼影病毒4.exe

联机获取此项的详细信息。

lifan88

难道又是魔改鬼影？我来用MD看看

猥琐大叔

lifan88

第一个比较麻烦。。
第二个其实是兼容性特差的东西。。。

lifan88

av加壳。。
2016-2-1 17:52:51    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
命令行: "C:\Documents and Settings\Administrator\桌面\new samples\AV终结者加壳版\AV终结者加壳版.exe"
规则: [应用程序]c:\windows\explorer.exe

2016-2-1 17:52:53    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Documents and Settings\Administrator\桌面\new samples\AV终结者加壳版\AV终结者加壳版.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016-2-1 17:52:54    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
命令行: "C:\Documents and Settings\Administrator\桌面\new samples\AV终结者加壳版\AV终结者加壳版.exe"
规则: [应用程序]*

2016-2-1 17:52:58    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Documents and Settings\Administrator\桌面\new samples\AV终结者加壳版\AV终结者加壳版.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016-2-1 17:53:04    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Program Files\Common Files\Microsoft Shared\MSINFO\0020834C.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2016-2-1 17:53:06    读文件 (2)    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Program Files\Common Files\Microsoft Shared\MSInfo\0020834C.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2016-2-1 17:53:07    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Documents and Settings\Administrator\桌面\new samples\AV终结者加壳版\AV终结者加壳版.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016-2-1 17:53:09    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Program Files\Common Files\Microsoft Shared\MSINFO\0020834C.dat
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 17:53:11    读文件 (2)    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Program Files\Common Files\Microsoft Shared\MSInfo\0020834C.dat
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 17:53:12    设置文件隐藏属性    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Program Files\Common Files\Microsoft Shared\MSInfo\0020834C.dat
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 17:53:13    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Program Files\Common Files\Microsoft Shared\MSInfo\0020834C.dat
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 17:53:21    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\WINDOWS\Help\0020834C.chm
规则: [文件组]所有执行文件 -> [文件]*; *.chm

2016-2-1 17:53:23    读文件 (2)    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\WINDOWS\Help\0020834C.chm
规则: [文件组]所有执行文件 -> [文件]*; *.chm

2016-2-1 17:53:25    读文件 (2)    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: C:\Program Files\Common Files\Microsoft Shared\MSInfo\0020834C.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2016-2-1 17:53:28    加载动态链接库    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: c:\program files\common files\microsoft shared\msinfo\0020834c.dll
规则: [应用程序]*

2016-2-1 17:53:30    安装全局消息钩子    阻止
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: c:\program files\common files\microsoft shared\msinfo\0020834c.dll
钩子类型: WH_DEBUG
规则: [应用程序]*

阻止后无反应。。。再来。。


2016-2-1 18:08:34    安装全局消息钩子    允许
进程: c:\documents and settings\administrator\桌面\new samples\av终结者加壳版\av终结者加壳版.exe
目标: c:\program files\common files\microsoft shared\msinfo\0020834c.dll
钩子类型: WH_DEBUG
规则: [应用程序]*

2016-2-1 18:08:36    加载动态链接库    允许
进程: c:\windows\explorer.exe
目标: c:\program files\common files\microsoft shared\msinfo\0020834c.dll
规则: [应用程序]c:\windows\explorer.exe -> [动态链接库]*

2016-2-1 18:08:42    加载动态链接库    允许
进程: c:\windows\system32\ctfmon.exe
目标: c:\program files\common files\microsoft shared\msinfo\0020834c.dll
规则: [应用程序]c:\windows\system32\ctfmon.exe

2016-2-1 18:08:48    创建文件    允许
进程: c:\windows\explorer.exe
目标: C:\WINDOWS\0020834C.hlp
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2016-2-1 18:08:52    安装全局消息钩子    允许
进程: c:\windows\explorer.exe
目标: c:\program files\common files\microsoft shared\msinfo\0020834c.dll
钩子类型: WH_DEBUG
规则: [应用程序]c:\windows\explorer.exe

2016-2-1 18:08:55    访问网络    允许
进程: c:\windows\explorer.exe
目标: TCP [本机 : 1051] ->  [112.80.248.74 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016-2-1 18:09:04    创建文件    阻止
进程: c:\windows\explorer.exe
目标: D:\AutoRun.inf
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2016-2-1 18:09:06    修改文件    允许
进程: c:\windows\explorer.exe
目标: C:\WINDOWS\0020834C.hlp
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2016-2-1 18:09:09    创建文件    允许
进程: c:\windows\explorer.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\_
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2016-2-1 18:09:50    修改文件    允许
进程: c:\windows\explorer.exe
目标: C:\WINDOWS\system32\verclsid.exe
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2016-2-1 18:10:04    创建文件    允许
进程: c:\windows\explorer.exe
目标: C:\WINDOWS\system32\verclsid.exe.bak
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2016-2-1 18:10:14    创建文件    允许
进程: c:\windows\explorer.exe
目标: D:\0020834C.exe
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2016-2-1 18:10:17    修改注册表值    阻止
进程: c:\windows\explorer.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{08340020-0020-834C-2083-02034020834C}
值:
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\*

2016-2-1 18:10:30    修改注册表值    阻止
进程: c:\windows\explorer.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08340020-0020-834C-2083-02034020834C}\InProcServer32
值: C:\Program Files\Common Files\Microsoft Shared\MSINFO\0020834C.dll
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\*\InProcServer32

2016-2-1 18:10:34    修改注册表值    阻止
进程: c:\windows\explorer.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08340020-0020-834C-2083-02034020834C}\InProcServer32\ThreadingModel
值: Apartment
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\*\InProcServer32


然后无限循环修改注册表和AUTORUN。。。注销下试试。。

结果一样。。重启。。仍然没有新动作。。难道虚拟机XP系统跑不起来？？？


鬼影4：
2016-2-1 18:41:34    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
命令行: "C:\Documents and Settings\Administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe"
规则: [应用程序]c:\windows\explorer.exe

2016-2-1 18:41:36    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:41:38    读文件 (2)    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:41:39    修改文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:41:43    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\WINDOWS\system32\drivers\bios.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2016-2-1 18:41:45    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\WINDOWS\system32\drivers\bios.sys1
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 18:41:46    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\WINDOWS\system32\drivers\bios.sys1
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 18:41:47    修改文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\WINDOWS\system32\drivers\bios.sys2
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 18:41:48    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\WINDOWS\system32\drivers\bios.sys2
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 18:41:50    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\WINDOWS\system32\drivers\bios.sys1
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 18:41:51    修改文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\WINDOWS\system32\drivers\bios.sys1
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 18:41:53    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\WINDOWS\system32\drivers\beep.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys
2016-2-1 18:41:55    加载驱动程序    阻止
进程: c:\windows\system32\services.exe
目标: c:\windows\system32\drivers\beep.sys
规则: [应用程序]c:\windows\system32\services.exe

2016-2-1 18:41:57    删除文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\WINDOWS\system32\drivers\bios.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2016-2-1 18:41:59    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:42:00    读文件 (2)    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:42:02    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\my.sys
规则: [文件]?:\

2016-2-1 18:42:03    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:42:05    删除文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:42:06    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:42:07    读文件 (2)    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:42:08    修改文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DFE0F5.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2016-2-1 18:42:11    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\hook.rom
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 18:42:13    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\hook.rom
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 18:42:14    修改文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2016-2-1 18:42:16    底层磁盘读操作    阻止
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序]*

2016-2-1 18:42:17    底层磁盘写操作    阻止
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序]*

2016-2-1 18:42:18    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\hook.rom
规则: [文件组]所有执行文件 -> [文件]*; *.*

2016-2-1 18:42:19    删除文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\鬼影病毒4\鬼影病毒4.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\hook.rom
规则: [文件组]所有执行文件 -> [文件]*; *.*