转自52小敲竹杠

显示全部楼层 · 发表于 2016-5-14 11:53:30

另附火眼分析结果: 提升权限;关闭或重启系统;创建互斥体

行为描述：创建互斥体

附加信息：
"Shell.CMruPidlList"

行为描述：关闭或重启系统

附加信息：

行为描述：提升权限

附加信息：
"SeBackupPrivilege"

"SeRestorePrivilege"

"SeShutdownPrivilege"

新增注册表：

HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Explorer\Strea...

[TaskbarWinXP] = [\x0c\x00\x00\x00\x08...]

HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Explorer\TrayN...

[IconStreams] = [\x14\x00\x00\x00\x05...]

[PastIconsStream] = [\x14\x00\x00\x00\x05...]

HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\WindowsUpdate

[UserRequestedUpdate] = [0x00000000]

显示全部楼层 · 发表于 2016-5-14 16:47:27

QFS引擎能扫到是因为当初特意获取了敲竹杠的特征

显示全部楼层 · 发表于 2016-5-16 13:48:09

微软 MISS

显示全部楼层 · 发表于 2016-5-16 14:00:58

过360

[病毒样本] 转自52小敲竹杠

本帖子中包含更多资源

浏览过的版块