带有签名的病毒

显示全部楼层 · 发表于 2016-8-13 10:33:54

3801187 发表于 2016-8-13 10:27
剩下S开头的进程一直无反应，就手动结束了。

前面为撒是miss

显示全部楼层 · 发表于 2016-8-13 10:34:16

电脑发烧友发表于 2016-8-13 10:03
EMS被过，驱动已经挂上了

你把云端查询信誉关了看看

显示全部楼层 · 发表于 2016-8-13 10:37:10

windows7爱好者发表于 2016-8-13 10:33
前面为撒是miss

可能版本不同，不过不知道拦截成功没有。

显示全部楼层 · 发表于 2016-8-13 10:38:16

windows7爱好者发表于 2016-8-13 10:34
你把云端查询信誉关了看看

我早就关了，正在手杀

显示全部楼层 · 发表于 2016-8-13 10:38:55

电脑发烧友发表于 2016-8-13 10:38
我早就关了，正在手杀

默哀

显示全部楼层 · 发表于 2016-8-13 10:40:09

3801187 发表于 2016-8-13 10:37
可能版本不同，不过不知道拦截成功没有。

额，沙盘也没法看驱动

显示全部楼层 · 发表于 2016-8-13 10:54:25

windows7爱好者发表于 2016-8-13 10:40
额，沙盘也没法看驱动

实机试了一下好像拦截失败，把S开头的进程结束以后删除了驱动，未发现楼主说的注册表，等会我试试不删除驱动重启电脑还有没有S开头的进程，现在没时间了。

显示全部楼层 · 发表于 2016-8-13 10:57:44

我这里似乎手杀成功了
1.先用PCH勾选删除后阻止生成，然后，强制删除那个驱动
2.HKLM\SYSTEM\ControlSet???\Services\sacidSvc
HKLM\SYSTEM\ControlSet001\services\SxDlFilter
HKLM\SYSTEM\ControlSet???\Services\SxZLmopqrd
HKLM\SYSTEM\ControlSet???\Services\SxLCdlopoy
删除以上路径
3.删除服务并卸载橘子浏览器
4.重启
5.检查之后未发现异常。

关键行为截图

显示全部楼层 · 发表于 2016-8-13 10:59:56

3801187 发表于 2016-8-13 10:54
实机试了一下好像拦截失败，把S开头的进程结束以后删除了驱动，未发现楼主说的注册表，等会我试试不删除 ...

你看看驱动有没有恢复就知道了

显示全部楼层 · 发表于 2016-8-13 11:02:53

3801187 发表于 2016-8-13 10:54
实机试了一下好像拦截失败，把S开头的进程结束以后删除了驱动，未发现楼主说的注册表，等会我试试不删除 ...

你右键那个驱动属性，看看能看到详细信息不能，如果能，他就没有保护，能够删除，如果看不到，那他就保护了，是删除不了的

[病毒样本] 带有签名的病毒

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块