可能是传说中的万恶之源？它不是MBR敲竹杠，但它生产MBR敲竹杠……谨慎实机运行！

蓝天二号

大蜘蛛

liulangzhecgr

呵呵！够吓人...

2016/5/3 09:47:05    创建新进程    允许
进程: c:\windows\system32\taskmgr.exe
目标: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
命令行: "G:\Download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe"
规则: [应用程序]*

2016/5/3 09:48:54    创建注册表项    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\物理硬盘逻辑锁生成器_RASAPI32
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/3 09:49:02    修改注册表值    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\物理硬盘逻辑锁生成器_RASAPI32\EnableFileTracing
值: 0x00000000(0)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/3 09:49:06    创建注册表项    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\物理硬盘逻辑锁生成器_RASMANCS
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/3 09:49:19    修改注册表值    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\物理硬盘逻辑锁生成器_RASMANCS\EnableFileTracing
值: 0x00000000(0)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/3 09:49:33    修改其他进程的线程    允许
进程: c:\windows\system32\services.exe
目标: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
规则: [应用程序]c:\windows\system32\services.exe

2016/5/3 09:49:40    访问网络    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: TCP [本机 : 49856] ->  [23.234.23.217 : 80 (http)]
规则: [应用程序组]病毒测试 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016/5/3 09:49:46    创建文件    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: C:\Windows\LMIns.exe
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/3 09:51:28    创建文件    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: C:\Users\baba\Desktop\硬盘逻辑锁.exe
规则: [应用程序组]病毒测试 -> [文件]*

因组策略的规则关系，用MD无法运行桌面上的东东...

2016/5/3 10:05:40    创建新进程    允许
进程: c:\windows\system32\taskmgr.exe
目标: c:\users\baba\desktop\硬盘逻辑锁.exe
命令行: "C:\Users\baba\Desktop\硬盘逻辑锁.exe"
规则: [应用程序]*

2016/5/3 10:05:51    底层磁盘读操作    允许
进程: c:\users\baba\desktop\硬盘逻辑锁.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]病毒测试

2016/5/3 10:06:20    底层磁盘写操作    阻止
进程: c:\users\baba\desktop\硬盘逻辑锁.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]病毒测试

呵呵！蓝屏...

轩夏

微软

C:\Users\XuanXia\Desktop\??????????\??????????.exe->[EPO-V-0]  Suspicious: VirTool:Win32/Obfuscator.XZ [submit_sample] [non_writable_container]

1670338677

易语言。。。。。。。。。。。【滑稽】

蓝雨风暴

蛋挞杀，BD引擎发力

qq2575044704

这个东西还真好玩

z2009

感染的对象： ￧ﾉﾩ￧ﾐﾆ￧ﾡﾬ￧ﾛﾘ￩ﾀﾻ￨ﾾﾑ￩ﾔﾁ￧ﾔﾟ￦ﾈﾐ￥ﾙﾨ.EXE

恶意软件：  Gen:Variant.Kazy.137433
路径： C:\USERS\JUHON\DESKTOP\￧ﾉﾩ￧ﾐﾆ￧ﾡﾬ￧ﾛﾘ￩ﾀﾻ￨ﾾﾑ￩ﾔﾁ￧ﾔﾟ￦ﾈﾐ￥ﾙﾨ\￧ﾉﾩ￧ﾐﾆ￧ﾡﾬ￧ﾛﾘ￩ﾀﾻ￨ﾾﾑ￩ﾔﾁ￧ﾔﾟ￦ﾈﾐ￥ﾙﾨ.EXE
感染的进程： [8092] D:\tools\WinRAR\WinRAR.exe

lovelive10010

WD kill

liulangzhecgr

qq2575044704 发表于 2016-5-3 20:18
这个东西还真好玩

继续玩了吗？！玩的结果如何？！ 是否修改MBR的东东？！

2016/5/4 08:24:02    修改其他进程的线程    允许
进程: c:\windows\system32\services.exe
目标: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
规则: [应用程序]c:\windows\system32\services.exe

2016/5/4 08:24:14    访问网络    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: TCP [本机 : 50113] ->  [23.234.23.217 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016/5/4 08:24:21    创建文件    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: C:\Windows\LMIns.exe
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:24:32    创建新进程    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: c:\windows\lmins.exe
命令行: C:\Windows\LMIns.exe
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/5/4 08:24:38    创建文件    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\Setupsti.log
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:24:47    创建文件夹    允许
进程: c:\windows\lmins.exe
目标: C:\Users\baba\AppData\Local\Temp\~tmp_hl
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:24:53    创建文件    允许
进程: c:\windows\lmins.exe
目标: C:\Users\baba\AppData\Local\Temp\~tmp_hl\mslmedia.inf
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:25:04    创建文件    允许
进程: c:\windows\lmins.exe
目标: C:\Users\baba\AppData\Local\Temp\~tmp_hl\mslmedia.sys
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:25:18    修改文件权限    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\System32\DriverStore\infpub.dat
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:25:26    修改文件权限    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\System32\DriverStore\infstor.dat
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:25:32    修改文件权限    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\System32\DriverStore\infstrng.dat
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:25:36    修改文件权限    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\System32\DriverStore\drvindex.dat
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:25:44    修改文件权限    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\System32\DriverStore\INFCACHE.1
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:25:51    创建文件    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\INF\setupapi.app.log
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:26:01    创建注册表项    允许
进程: c:\windows\lmins.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\Setup\SetupapiLogStatus
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/4 08:26:08    修改注册表值    允许
进程: c:\windows\lmins.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\Setup\SetupapiLogStatus\setupapi.app.log
值: 0x00001000(4096)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/4 08:26:17    创建文件    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\system32\DRIVERS\SET536D.tmp
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:26:21    创建文件    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\system32\DRIVERS\Mslmedia.sys
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:26:28    安装驱动程序或服务    允许
进程: c:\windows\lmins.exe
目标: system32\DRIVERS\Mslmedia.sys
规则: [应用程序组]病毒测试

2016/5/4 08:26:40    修改注册表值    允许
进程: c:\windows\lmins.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GroupOrderList\FSFilter Activity Monitor
值: 02 00 00 00 01 00 00 00 02 00 00 00
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/4 08:26:47    修改注册表值    允许
进程: c:\windows\lmins.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Mslmedia\DebugFlags
值: 0x00000000(0)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/4 08:26:51    创建注册表项    允许
进程: c:\windows\lmins.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Mslmedia\Instances
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/4 08:26:57    修改注册表值    允许
进程: c:\windows\lmins.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Mslmedia\Instances\DefaultInstance
值: Mslmedia Instance
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/4 08:27:01    创建注册表项    允许
进程: c:\windows\lmins.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Mslmedia\Instances\Mslmedia Instance
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/4 08:27:08    修改注册表值    允许
进程: c:\windows\lmins.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Mslmedia\Instances\Mslmedia Instance\Altitude
值: 370030
规则: [应用程序组]病毒测试 -> [注册表]*

2016/5/4 08:27:20    加载驱动程序    允许
进程: c:\windows\system32\services.exe
目标: c:\windows\system32\drivers\mslmedia.sys
规则: [应用程序]c:\windows\system32\services.exe

2016/5/4 08:27:25    修改文件    允许
进程: c:\windows\lmins.exe
目标: C:\Windows\hllog.txt
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:28:05    创建文件    允许
进程: g:\download\物理硬盘逻辑锁生成器\物理硬盘逻辑锁生成器.exe
目标: C:\Users\baba\Desktop\硬盘逻辑锁.exe
规则: [应用程序组]病毒测试 -> [文件]*

2016/5/4 08:30:06    底层磁盘读操作    允许
进程: g:\download\硬盘逻辑锁.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序]*

2016/5/4 08:30:15    底层磁盘写操作    允许
进程: g:\download\硬盘逻辑锁.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]病毒测试

2016/5/4 08:30:23    注销、关机或重新启动系统    允许
进程: g:\download\硬盘逻辑锁.exe
规则: [应用程序组]病毒测试

这种东东不加驱动怎么能给系统加锁？！ 写驱动水平问题还是咋回事，导致蓝屏...

liulangzhecgr

检查引导区结果如下：

mbr没有被修改：


引导区中写入数据，看不懂：





审核MD5文件结论：写入引导区，但PBR并没有被修改的痕迹！