大家看看有什么行为，改主页吗？

windows7爱好者

ELOHIM 发表于 2016-8-17 23:19
先不恢复啊，
关键是怎么进来的
过路下载？

我觉得过路下载的

ELOHIM

windows7爱好者 发表于 2016-8-17 23:24
我觉得过路下载的

你就会吓唬我。。

ELOHIM

tomochan 发表于 2016-8-17 23:23
分析报告出来了。。。你可以去看看。。。。

正在看第一页，我以为就一页，原来四页。。
慢慢看第二页呢。。。
魔盾很详细。
先谢谢！~

ELOHIM

好吧，我在注册表里面找到这个信息了。
的确是卡饭样本区的样本，我自己解压出来的。

SEP分析这么。。漫长……几个小时过去了，我记不起来了。
因为，没有更新病毒库啊……………………

感慨一下。

电脑发烧友

ELOHIM 发表于 2016-8-17 23:14
里面有这么恶心的代码。。

实机双击虽说弹窗一大片，其实有点用的就就是创建了一个bat，然后ping一下就自删除了，没有修改主页。

17.08.2016 23.18.58;已允许可疑操作;C:\Users\22796\Desktop\dwh1a\dwh1a.exe;创建 C:\Sandbox\22796\4\user\current\AppData\Local\Temp\sys.bat;C:\Users\22796\Desktop\dwh1a\dwh1a.exe;C:\Users\22796\Desktop\dwh1a\dwh1a.exe;08/17/2016 23:18:58

[mw_shl_code=css,true]@echo off
ping 127.1 /n 2 >nul
del /f/s/q "C:\Users\22796\Desktop\dwh1a\dwh1a.exe"
del %0[/mw_shl_code]

17.08.2016 23.19.35;已允许可疑操作;Windows Command Processor;删除 C:\Sandbox\22796\4\user\current\AppData\Local\Temp\sys.bat;Windows Command Processor;C:\Windows\SysWOW64\cmd.exe;08/17/2016 23:19:35

17.08.2016 23.22.53;已允许可疑操作;Windows Command Processor;删除 C:\Sandbox\22796\2\user\current\AppData\Local\Temp\sys.bat;Windows Command Processor;C:\Windows\SysWOW64\cmd.exe;08/17/2016 23:22:53

17.08.2016 23.28.01;已允许可疑操作;c:\users\22796\appdata\local\temp\sys.bat;删除 C:\Users\22796\Desktop\dwh1a\dwh1a.exe;c:\users\22796\appdata\local\temp\sys.bat;c:\users\22796\appdata\local\temp\sys.bat;08/17/2016 23:28:01

ELOHIM

电脑发烧友 发表于 2016-8-17 23:32
实机双击虽说弹窗一大片，其实就创建了一个bat，然后ping一下就自删除了，没有修改主页。

[mw_shl_cod ...

谢谢双击，辛苦啦。

突然的弹窗吓了我一跳。。。

心醉咖啡

扫描时间：[2016-08-17 23:39:09]
扫描用时：[00:00:04]
扫描类型：自定义查杀
扫描文件总数：1
扫描速度：1文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2016-08-17 23:39:24]
威胁：f:\浏览器下载\dwh1a\dwh1a.exe
类型：win32.troj.undef.(kcloud)
处理方式：删除

ELOHIM

心醉咖啡 发表于 2016-8-17 23:40
扫描时间：[2016-08-17 23:39:09]
扫描用时：[00:00:04]
扫描类型：自定义查杀

MSE 基准线没反应。。哈哈。。

轩夏

MSE miss

xcvbaby

电脑管家