【双击敢死队何在】模拟操作样本

深山红叶__

电脑发烧友 发表于 2016-8-16 17:41
真是不好意思，我这里已经无法复现相同的情况了，很可能是因为我当时双击时为卡巴2016，现在尝试复现是卡 ...

黑屏是关掉显示器的黑屏吧？我的虚拟机看不了黑屏的样子，不过有很多复制句柄的操作，所以根据经验我判断是sendmessage关闭显示屏。
黑屏后有观察到鼠标位移吗？
keybd_event                    (97D146H)
mouse_event                    (97D154H)
也有导入keybd_event

---

来了，第一次打开样本发现有多次Enter键被按下，图中只显示五个，实际更多。但之后几次打开没有击键。

电脑发烧友

深山红叶__ 发表于 2016-8-16 18:00
黑屏是关掉显示器的黑屏吧？我的虚拟机看不了黑屏的样子，不过有很多复制句柄的操作，所以根据经验我判断 ...

这次真的没有，也许这个帖子从一开始就是一个意外

liulangzhecgr

貌似下载者之类。

2016/8/16 18:06:48    底层键盘操作    阻止
进程: g:\download\样本\dnf超级稳定buff辅助.exe
规则: [应用程序组]病毒测试

2016/8/16 18:07:11    创建文件    允许
进程: g:\download\样本\dnf超级稳定buff辅助.exe
目标: C:\xinxinxiu.com.txt
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/8/16 18:10:22    创建文件    允许
进程: g:\download\样本\dnf超级稳定buff辅助.exe
目标: D:\tao.exe
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/8/16 18:10:35    修改注册表值    允许
进程: g:\download\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\tao
值: D:\tao.exe
规则: [应用程序组]病毒测试 -> [注册表]*

2016/8/16 18:10:48    创建文件    允许
进程: g:\download\样本\dnf超级稳定buff辅助.exe
目标: D:\q.exe
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/8/16 18:10:54    修改注册表值    允许
进程: g:\download\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\q
值: D:\q.exe
规则: [应用程序组]病毒测试 -> [注册表]*

2016/8/16 18:11:00    创建文件    允许
进程: g:\download\样本\dnf超级稳定buff辅助.exe
目标: D:\qq.exe
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/8/16 18:11:06    修改注册表值    允许
进程: g:\download\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\qq
值: D:\qq.exe
规则: [应用程序组]病毒测试 -> [注册表]*

2016/8/16 18:11:11    创建文件    允许
进程: g:\download\样本\dnf超级稳定buff辅助.exe
目标: D:\p7_k44665_bBrUCPyJi9W434Uf9gkbFa6UsicP2.exe
规则: [应用程序组]病毒测试 -> [文件]?:\

2016/8/16 18:11:17    修改注册表值    允许
进程: g:\download\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ad
值: D:\p7_k44665_bBrUCPyJi9W434Uf9gkbFa6UsicP2.exe
规则: [应用程序组]病毒测试 -> [注册表]*

深山红叶__

电脑发烧友 发表于 2016-8-16 18:18
这次真的没有，也许这个帖子从一开始就是一个意外

再次测试：
删除C盘根目录的文本文件后再次执行样本，出现了两个进程（不是手抖！用的是右键打开），Return监测程序显示了10次击键

未完……

电脑发烧友

深山红叶__ 发表于 2016-8-16 18:30
再次测试：
删除C盘根目录的文本文件后再次执行样本，出现了两个进程（不是手抖！用的是右键打开），Ret ...

来了，第一次打开样本发现有多次Enter键被按下

前面提到过，卡巴的弹窗多数为推荐允许，而且弹窗可以通过Enter键进行操作，操作结果就是推荐的操作，这似乎就不难解释为何我会看到一大堆允许的操作，至于为何在2017下没有反应，应该是因为2017在红石下的限制较少，我看过卡巴的功能受限说明，有一些没有说清楚，可能饱含着一块，如果有win7的测试环境是最好的。

深山红叶__

电脑发烧友 发表于 2016-8-16 18:18
这次真的没有，也许这个帖子从一开始就是一个意外

多次测试好了，删掉C盘根目录的文本文件就可以多次测试了。
样本首次打开后出现双进程，有移动鼠标和键盘击键的动作，一个进程执行五次（或更多）Enter击键，将鼠标移动至指定位置并单击，我的虚拟机上是移动到x：830，y=463。
我只监控了两个Enter键和鼠标移动动作，更多的要设置键盘钩子或添加更多监视点...先这样吧

tg123321

pal家族 发表于 2016-8-16 12:06
那不是弄巧成拙了吗？

该样本的确弄巧成拙了。。
56楼也检测到了鼠标移动的情况。。。

电脑发烧友

深山红叶__ 发表于 2016-8-16 18:43
多次测试好了，删掉C盘根目录的文本文件就可以多次测试了。
样本首次打开后出现双进程，有移动鼠标和键 ...

这次复现了，似乎真的是通过回车键来确定一些弹窗。

popu111

重装完了，过来留一句言。趋势被过，图等会我从QQ上搬过来

windows7爱好者

popu111 发表于 2016-8-16 19:29
重装完了，过来留一句言。趋势被过，图等会我从QQ上搬过来

我对趋势无爱，感觉主防像摆设