恶意篡改MBR病毒一枚，这次好像不敲竹杠，依然实机运行警告！

显示全部楼层 · 发表于 2016-4-23 13:02:58

一纪若尘一发表于 2016-4-23 11:00
那23楼那个是属于什么类型呢

我是扫描他是双击。。。。

显示全部楼层 · 发表于 2016-4-23 18:19:50

Create WriteXXX DeviceIoControl 直接写硬盘,这没什么好分析的吧估计就十几行代码的事

显示全部楼层 · 发表于 2016-4-23 21:51:45

KIS2011MISS 虚拟机双击直接重启，沙箱运行无反应，系统能正常引导

显示全部楼层 · 发表于 2016-4-23 22:01:31

善良↗小青年发表于 2016-4-23 21:51
KIS2011MISS 虚拟机双击直接重启，沙箱运行无反应，系统能正常引导

注意检查内置admin账户的密码情况。

显示全部楼层 · 发表于 2016-4-23 22:06:18

zhou0197 发表于 2016-4-23 22:01
注意检查内置admin账户的密码情况。

没密码。。。账户用户名也没变。是看这个吗？

显示全部楼层 · 发表于 2016-4-23 22:13:16

善良↗小青年发表于 2016-4-23 22:06
没密码。。。账户用户名也没变。是看这个吗？

不是啦，安全模式下可见，这个是你自己的管理员账户，还有个系统内置的Administrator账户呢……

显示全部楼层 · 发表于 2016-4-23 22:20:12

哈勃的分析

其他行为
行为描述：修改硬盘引导扇区
详情信息：
N/A
行为描述：获取TickCount值
详情信息：
TickCount = 486468, SleepMilliseconds = 2000.
行为描述：调整进程token权限
详情信息：
SE_SHUTDOWN_PRIVILEGE
行为描述：直接操作物理设备
详情信息：
\??\PHYSICALDRIVE0
行为描述：调用Sleep函数
详情信息：
[1]: MilliSeconds = 2000.
行为描述：关机或重启
详情信息：
N/A

应该就是这么回事了

补充：卡巴还没报

显示全部楼层 · 发表于 2016-4-23 22:46:25

zhou0197 发表于 2016-4-23 22:01
注意检查内置admin账户的密码情况。

是这个吗？也没改变哦

显示全部楼层 · 发表于 2016-4-23 22:49:32

善良↗小青年发表于 2016-4-23 22:46
是这个吗？也没改变哦

那应该就没事……

显示全部楼层 · 发表于 2016-4-23 23:13:58

本帖最后由 livethings 于 2016-4-23 23:51 编辑

说下我的情况

先是用影子系统在虚拟机里试了一波发现重启ok

然后很放心的在主机上开影子双击

主机装备 kis+火绒

双击。卡巴加入低限制组，火绒弹窗写引导扇区

默认选择阻止

自动重启（重启的动作火绒没拦住）

然后没卡巴啥事了。

--------------分割线--------------

哦，其实同23L，火绒允许了以后卡巴还是拦得住的，两个动作（低级别磁盘访问+关机）都拦住了。
虽然扫描没报毒但是不会出事

顺便，火绒剑告诉我
23:32:55:732, Install.exe, 3788:3640, 1816, SYS_opendev, \Device\Harddisk0\DR0, devtype:7
access:0xC0100080 share:0x00000003 , 0x00000000 [操作成功完成。 ],

lz说的大概就是这个了

汇报完毕

[病毒样本] 恶意篡改MBR病毒一枚，这次好像不敲竹杠，依然实机运行警告！

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块