MBR敲竹杠又来啦……依然实机运行警告……

windows7爱好者

挑过测试

欧阳宣

Artemis!177E2BF558BA

蓝天二号

解压，蜘蛛 KILL

liulangzhecgr

下载的文件包里有很多DLL文件，不知运行样本时加载次dll文件？！

zhou0197

liulangzhecgr 发表于 2016-5-3 08:53
下载的文件包里有很多DLL文件，不知运行样本时加载次dll文件？！

并不确定加载了dll…………没有进一步追踪哎……

liulangzhecgr

zhou0197 发表于 2016-5-3 09:06
并不确定加载了dll…………没有进一步追踪哎……

win7 x32 基本用户运行系统

样本以管理员特权来运行
貌似跟包里的DLL无关！不过，缺少很多程序（病毒子过程）？！

2016/5/3 08:54:35    创建新进程    允许
进程: c:\windows\system32\taskmgr.exe
目标: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
命令行: "G:\Download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe"
规则: [应用程序]*

2016/5/3 08:55:31    创建文件夹    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: C:\china-drm
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 08:55:36    创建文件夹    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: C:\drmsoft
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 08:55:54    创建新进程    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c net stop Spooler
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/5/3 08:55:58    向其他进程发送消息    允许
进程: c:\windows\system32\conhost.exe
目标: c:\windows\system32\cmd.exe
消息: WM_SETICON
规则: [应用程序]*

2016/5/3 08:56:36    创建新进程    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
命令行: "G:\Download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力2.exe"
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/5/3 08:57:08    修改注册表值    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Writing to the Registry Example
值: C:\Windows\system32\FXSCOM.exe
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/3 08:57:11    向其他进程发送消息    允许
进程: c:\windows\system32\conhost.exe
目标: c:\windows\system32\cmd.exe
消息: WM_SETICON
规则: [应用程序]*

2016/5/3 08:57:31    创建新进程    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: c:\windows\system32\net.exe
命令行: net user 随机码mm35047 226570.53 /add
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/5/3 08:58:15    创建新进程    允许
进程: c:\windows\system32\net.exe
目标: c:\windows\system32\net1.exe
命令行: C:\Windows\system32\net1  stop Spooler
规则: [应用程序]*

2016/5/3 08:58:27    修改其他进程的内存    允许
进程: c:\windows\system32\svchost.exe
目标: c:\windows\explorer.exe
规则: [应用程序]c:\windows\system32\svchost.exe

2016/5/3 08:58:41    创建新进程    允许
进程: c:\windows\system32\svchost.exe
目标: c:\windows\system32\rundll32.exe
命令行: C:\Windows\System32\rundll32.exe shell32.dll,SHCreateLocalServerRunDll {995C996E-D918-4a8c-A302-45719A6F4EA7} -Embedding
规则: [应用程序]c:\windows\system32\svchost.exe

2016/5/3 08:58:56    修改其他进程的线程    允许
进程: c:\windows\system32\svchost.exe
目标: c:\windows\explorer.exe
规则: [应用程序]c:\windows\system32\svchost.exe

2016/5/3 09:00:10    向其他进程发送消息    允许
进程: c:\windows\system32\taskmgr.exe
目标: c:\windows\system32\net.exe
消息: WM_GETICON
规则: [应用程序]*

2016/5/3 09:00:19    创建新进程    允许
进程: c:\windows\system32\net.exe
目标: c:\windows\system32\net1.exe
命令行: C:\Windows\system32\net1 user 随机码mm35047 226570.53 /add
规则: [应用程序]*

2016/5/3 09:00:26    创建新进程    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: c:\windows\system32\net.exe
命令行: net localgroup administrators 随机码mm35047 /add
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/5/3 09:09:14    创建新进程    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: c:\windows\system32\net.exe
命令行: net user 加QQ1603987441 226570.53 /add
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/5/3 09:11:21    挂起其他进程的线程    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: c:\windows\system32\taskkill.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/5/3 09:11:32    向其他进程复制句柄    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: c:\windows\system32\taskkill.exe
句柄: (Process) g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/5/3 09:12:12    底层磁盘读操作    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]病毒测试

2016/5/3 09:12:21    结束其他进程    允许
进程: c:\windows\system32\taskkill.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2016/5/3 09:12:26    底层磁盘写操作    阻止
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]病毒测试

2016/5/3 09:12:36    创建新进程    阻止
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
目标: c:\windows\system32\shutdown.exe
命令行: shutdown -r -t 1
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/5/3 09:13:19    底层键盘操作    允许
进程: g:\download\（关闭杀毒后下载运行）无线火力连超\（关闭杀毒后下载运行）无线火力连超\无限火力.exe
规则: [应用程序组]病毒测试

轩夏

妖刀

Trojan.Win32.Redosdru