苏拉克病毒样本

windows7爱好者

蜘蛛全程只有这个 ，主页被改，桌面出现hao123，添加计划任务，XP下会加驱和杀软对抗

ymb668888

卡巴miss

ymb668888

只是将程序拉入低限制组，就没其他反应

icedream89

又是激活工具吧，
这类工具好像有些是会改主页

windows7爱好者

icedream89 发表于 2016-2-21 01:56
又是激活工具吧，
这类工具好像有些是会改主页

建议你去国内版去看看
这个工具属于纯病毒，伪装的激活工具，没有任何激活的功能
在XP下会加驱和杀软对抗
双击请打开软件，点击激活，才能触发行为

pal家族

没兴趣、、、、、、、、

icedream89

windows7爱好者 发表于 2016-2-21 09:33
建议你去国内版去看看
这个工具属于纯病毒，伪装的激活工具，没有任何激活的功能
在XP下会加驱 ...

没看出来。[mw_shl_code=css,true]基本信息
文件名称：OEM10.rar
MD5：f177e06b28b71b39dca29aaee9cac65d
Sha-1：48b854c8f861f85ac4258caf9803f6f821752311
文件大小：1.50MB
创建时间：2016-02-21 09:35:42
文件类型：RAR
PEID信息：Not a valid PE file
火眼点评
      远程注入其他进程;设置远程线程上下文;检测自身是否被调试;尝试打开调试器或监控软件的驱动设备对象;查找文件;创建进程;创建互斥体;在其他进程中申请内存;inline hook 自身进程
危险行为监控
行为描述：远程注入其他进程
附加信息：OEM10.exe
其他行为监控
行为描述：inline hook 自身进程
附加信息：OEM10.exe USER32.dll!CreateWindowExW Ordinal: 98 HookType: InlineHook USER32.dll!MessageBoxW Ordinal: 484 HookType: InlineHook
行为描述：在其他进程中申请内存
附加信息：%ProgramFiles%\OEM10.exe%system%\drwtsn32.exe
行为描述：创建互斥体
附加信息："DbgEngEvent_00000664""DrWatsonLogProtect"
行为描述：创建进程
附加信息：%system%\drwtsn32.exe
行为描述：查找文件
附加信息："%ProgramFiles%\OEM10.CH""%ProgramFiles%\OEM10.CHS""%ProgramFiles%\OEM10.zh""%ProgramFiles%\OEM10.zh-CN""%ProgramFiles%\OEM10.zh-Hans"
行为描述：尝试打开调试器或监控软件的驱动设备对象
附加信息：\\.\ICEEXT\\.\NTICE\\.\SICE\\.\SIWVID
行为描述：检测自身是否被调试
附加信息：
行为描述：设置远程线程上下文
附加信息：%ProgramFiles%\OEM10.exe
文件操作监控
操作        文件MD5        文件大小        文件路径
新增        060ef1c318155257006312c96b94a076        182        %AllUsersProfile%\Application Data...
进程操作监控
创建进程：无
启动参数：%system%\drwtsn32 -p 656 -e 248 -g[/mw_shl_code]

aiqinghe

诺顿kill  Trojan Gen2

windows7爱好者

icedream89 发表于 2016-2-21 09:48
没看出来。[mw_shl_code=css,true]基本信息
文件名称：OEM10.rar
MD5：f177e06b28b71b39dca29aaee9cac6 ...

http://bbs.kafan.cn/thread-1961931-1-1.html
你自己看吧
这个样本好像需要打开后点击才能触发

icedream89

windows7爱好者 发表于 2016-2-21 09:50
http://bbs.kafan.cn/thread-1961931-1-1.html
你自己看吧
这个样本好像需要打开后点击才能触发[ ...

我还是觉得NO，只是添加修改主页添加任务计划。
也许这个样本不是······