刚刚QQ上收到的文件！

pal家族

果然，像趋势卡巴这样的主防，理论上是可以回滚很早之前的的东西的，只要记录还在
可惜这样本没啥行为：

尘梦幽然

胖福 发表于 2016-3-31 12:39
等云拉黑的时候就有人中招了，我这里诺顿就连个P都没放！

我这里一下载下来就直接报毒了，你检查一下你的云。

sanhu35

调用MSi来释放


2016-3-31 21:13:05    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\业务采购单.exe
目标: c:\windows\system32\msiexec.exe
命令行: msiexec  /i "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\业务采购单.msi"
规则: [应用程序]*

2016-3-31 21:13:23    创建新进程    允许
进程: c:\windows\system32\msiexec.exe
目标: c:\windows\installer\msi1b.tmp
命令行: "C:\WINDOWS\Installer\MSI1B.tmp"
规则: [应用程序]*

2016-3-31 21:13:31    修改文件 (2)    阻止
进程: c:\windows\installer\msi1b.tmp
目标: C:\Documents and Settings\Administrator\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
规则: [文件组]只读磁盘 -> [文件]c:\*

2016-3-31 21:13:32    创建文件    阻止
进程: c:\windows\installer\msi1b.tmp
目标: C:\WINDOWS\system32\GDIPFONTCACHEV1.DAT
规则: [文件组]只读磁盘 -> [文件]c:\*

dv8892300

我去，这种盗号软件对于BD这种没有云的来说岂不是阿喀琉斯之踵，基本防不住~@ccboxes

ccboxes

dv8892300 发表于 2016-3-31 22:10
我去，这种盗号软件对于BD这种没有云的来说岂不是阿喀琉斯之踵，基本防不住~@ccboxes

这种社工病毒的确只能靠拉黑，BD拉黑的速度还是不够快。不过我觉得这玩意和流氓一样，人脑最可靠吧。。。。。。。。。。

ccboxes

cfhdrty 发表于 2016-3-31 19:41
确实，并不是bd选手。你能说说什么样的会触发bd拦截联网？不触发监控和主防的

很难，基本要一上来就联网才行，前面有恶意行为的话，ATC会先拦。所以BD的墙拦病毒联网很少见，反而误拦好触发。。。。。。。。。。。。
我记得软件区的那个种子搜索器在1.1版的时候会被BD拦截联网。

挥泪斩情思

dongwenqi 发表于 2016-3-31 16:39
上报入库了么

上报了   入没入库不知道

tgzw1680

Virtualization

卡巴

dongwenqi

挥泪斩情思 发表于 2016-3-31 23:01
上报了   入没入库不知道

OK,59楼入库了