带有Ramnit，Parite感染的MBR敲竹杠，这酸爽难以置信，同样实机运行警告！

心醉咖啡

skyboybone 发表于 2016-4-10 21:16
金山cheatengine双击

用金山双击需要莫大的勇气

zhou0197

深山红叶__ 发表于 2016-4-11 02:27
mima0410
还是红字绿密码，真不知道是抄哪个的。
程序运行后在%Temp%生成cheatengine-x86_64，调用cmd运 ...

get…………原来这么坑……

lovelive10010

pal家族 发表于 2016-4-11 07:17
这是不可能的，请仔细检查文件反病毒日志

难道你的卡巴不杀？

skyboybone

心醉咖啡 发表于 2016-4-11 07:51
用金山双击需要莫大的勇气

虚拟机

我想我还没那么脑残

QlaqCfan

防追封清理数据.exe 检测出是Nimnul而且之后被云杀
防追封清理数据Srv.exe 报Krap和Parite。。。。

至于那个cheatengine-x86_64.exe居然没检测出来。。。难道必须双击？


数据库为最新


[mw_shl_code=shell,true]11.04.2016 08.29.57    检测到对象 ( 文件 ) 。    F:\Downloads\CE-10显示图标\CE-10显示图标\防追封清理数据.exe    应用程序: Microsoft Windows Search Protocol Host    文件: F:\Downloads\CE-10显示图标\CE-10显示图标\防追封清理数据.exe    时间: 2016/4/11 8:29    对象名称: UDS:DangerousObject.Multi.Generic

11.04.2016 08.29.46    检测到对象 ( 文件 ) 。    F:\Downloads\CE-10显示图标\CE-10显示图标\防追封清理数据.exe    应用程序: WinRAR 压缩文件管理器    文件: F:\Downloads\CE-10显示图标\CE-10显示图标\防追封清理数据.exe    时间: 2016/4/11 8:29    对象名称: Virus.Win32.Nimnul.a


11.04.2016 08.29.46    检测到对象 ( 文件 ) 。    F:\Downloads\CE-10显示图标\CE-10显示图标\防追封清理数据Srv.exe    应用程序: WinRAR 压缩文件管理器    文件: F:\Downloads\CE-10显示图标\CE-10显示图标\防追封清理数据Srv.exe    时间: 2016/4/11 8:29    对象名称: Packed.Win32.Krap.hm

11.04.2016 08.29.43    检测到对象 ( 文件 ) 。    F:\Downloads\CE-10显示图标\CE-10显示图标\防追封清理数据Srv.exe    应用程序: WinRAR 压缩文件管理器    文件: F:\Downloads\CE-10显示图标\CE-10显示图标\防追封清理数据Srv.exe    时间: 2016/4/11 8:29    对象名称: Virus.Win32.Parite.b[/mw_shl_code]

阿里小白帽

电脑管家扫描KILL 2

liulangzhecgr

运行样本，此弹窗是什么意思？！

2016/4/11 10:52:09    创建新进程    允许
进程: c:\windows\system32\taskmgr.exe
目标: g:\download\ce-10鏄剧ず鍥炬爣\ce-10显示图标\cheatengine-x86_64.exe
命令行: "G:\Download\CE-10鏄剧ず鍥炬爣\CE-10显示图标\cheatengine-x86_64.exe"
规则: [应用程序]*

2016/4/11 10:52:17    创建文件    允许
进程: g:\download\ce-10鏄剧ず鍥炬爣\ce-10显示图标\cheatengine-x86_64.exe
目标: C:\Users\baba\AppData\Local\Temp\cheatengine-x86_64.exe
规则: [应用程序组]病毒测试 -> [文件]*

2016/4/11 10:52:43    创建新进程    允许
进程: g:\download\ce-10鏄剧ず鍥炬爣\ce-10显示图标\cheatengine-x86_64.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c "C:\Users\baba\AppData\Local\Temp\cheatengine-x86_64.exe"
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/4/11 10:52:54    创建文件    允许
进程: g:\download\ce-10鏄剧ず鍥炬爣\ce-10显示图标\cheatengine-x86_64.exe
目标: C:\Users\baba\AppData\Local\Temp\0410.exe
规则: [应用程序组]病毒测试 -> [文件]*

2016/4/11 10:53:01    创建新进程    允许
进程: g:\download\ce-10鏄剧ず鍥炬爣\ce-10显示图标\cheatengine-x86_64.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c "C:\Users\baba\AppData\Local\Temp\0410.exe"
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/4/11 10:53:13    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\users\baba\appdata\local\temp\0410.exe
命令行: C:\Users\baba\AppData\Local\Temp\0410.exe
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/4/11 10:53:40    底层磁盘写操作    允许
进程: c:\users\baba\appdata\local\temp\0410.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]病毒测试

2016/4/11 10:53:44    底层磁盘读操作    允许
进程: c:\users\baba\appdata\local\temp\0410.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]病毒测试

检查系统结果如下：

查看MBR


检测MBR

MBR并没有修改！

但引导区 1~15写入数据！

pal家族

lovelive10010 发表于 2016-4-11 07:57
难道你的卡巴不杀？

自己看25L？怎么可能是全是云杀？请到 文件反病毒 的日志里好好看看整个检测清除的过程。

心醉咖啡

skyboybone 发表于 2016-4-11 08:42
虚拟机

我想我还没那么脑残

什么时候能看到实机敢用金山双击的勇者

wu5920