rex7.exe

hx1997

http://69.20.55.160/Scripts/rex7.exe

https://www.virustotal.com/en/fi ... nalysis/1466428353/

ESET 病毒库 13677 (20160620) 杀

C:\Users\Lucifer\Downloads\5ba8e7a79892688055c8daa525733a87 (1).zip > ZIP > 5ba8e7a79892688055c8daa525733a87.exe - Win32/TrojanDownloader.Zurgop.CM 特洛伊木马

vm001

360未知
双击等待中

双击后没反应
哈勃https://habo.qq.com/file/showdetail?pk=ADcGZV1uB2QIMVs1

然后这货有自保，任务管理器结束不了

这时候360报毒了

360杀毒文件上传日志

时间                    结果         详情     
---------------------------------------------------------------------------------------
2016-06-20 21:50:11     上传成功     c:\users\admin\desktop\5ba8e7a79892688055c8daa525733a87\5ba8e7a79892688055c8daa525733a87.exe   (MD5:5ba8e7a79892688055c8daa525733a87)

2016-06-20 21:55:21   
恶意软件(HEUR/QVM02.0.0000.Malware.Gen)MD5:5ba8e7a79892688055c8daa525733a87已删除此文件，如果您发现误删，可从隔离区恢复此文件。        
c:\users\admin\desktop\5ba8e7a79892688055c8daa525733a87\5ba8e7a79892688055c8daa525733a87.exe

左手

2016-6-20 21:51:39    修改其他进程的内存 风险级别:高    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\5ba8e7a79892688055c8daa525733a87\5ba8e7a79892688055c8daa525733a87.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]D+_Documents -> [应用程序]c:\documents and settings\*\* -> [目标应用程序]?:\windows\explorer.exe

pal家族

卡巴
UDS拉黑x2

zq19861019

gdata miss

nick20010117

qqddliu

火绒基础全开也没反应，自定义规则也没反应。和MD差距不是一点点。


修改其他进程内存
        属于高危动作，如无必要一定要阻止，比如XX程序要修改系统进程内存，如果成功修改，XX程序就将获得系统进程的权限，病毒通常利用此来获得高权限。只有在影响到你确认正常的程序使用的情况下才可以允许。火绒怎么防？

操作进程：C:\WINDOWS\system32\svchost.exe
触犯规则：●星火●【文件保护】〖风险目录〗阻止创建系统预读文件
操作类型：创建
操作文件：C:\WINDOWS\Prefetch\5BA8E7A79892688055C8DAA525733-11625DDD.pf
用户操作：已阻止

vm001

qqddliu 发表于 2016-6-20 22:06
火绒基础全开也没反应，自定义规则也没反应。和MD差距不是一点点。

explorer\run这个启动项没拦截？

qqddliu

vm001 发表于 2016-6-20 22:09
explorer\run这个启动项没拦截？

没拦，不行，切快照看看MD

lzy2010000

然而EIS10扫描仍然MISS,双击不杀，任务管理器无法结束，只能重启，正在杀毒中，纠结症又要开始了。