远控病毒样本！本人决定追随作者脚步更新（将不定时更新免杀）2016.9.10更新！

心痛的伤不起

avg
"";"IDP.ALEXA.51, C:\Users\55566\Desktop\账号密码\~\baidu.com";"已删除, 已隔离";"文件或目录";"2016/9/10, 22:42:07"
"";", C:\Windows\SysWOW64\rundll32.exe";"已阻止该对象";"进程";"2016/9/10, 22:42:07"
"";", C:\Sandbox\55566\DefaultBox\user\all\Microsoft dementia\SynTPHelpers.exe";"已阻止该对象";"进程";"2016/9/10, 22:42:07"
"";", C:\Sandbox\55566\DefaultBox\user\all\Access.txt";"已删除, 已隔离";"文件或目录";"2016/9/10, 22:42:07"
"";", C:\Sandbox\55566\DefaultBox\user\all\Microsoft dementia\wmic.exe.lnk";"已删除, 已隔离";"文件或目录";"2016/9/10, 22:42:07"
"";", C:\Sandbox\55566\DefaultBox\user\all\Microsoft dementia\SynTPHelpers.exe";"已删除, 已隔离";"文件或目录";"2016/9/10, 22:42:07"
"";", C:\Users\55566\Desktop\账号密码\~\baidu.com";"已阻止该对象";"进程";"2016/9/10, 22:42:07"
"";", HKEY_USERS\SANDBOX_55566_DEFAULTBOX\USER\CURRENT\SOFTWARE\LOCAL APPWIZARD-GENERATED APPLICATIONS";"已删除";"注册表项";"2016/9/10, 22:42:07"
"";", HKEY_USERS\SANDBOX_55566_DEFAULTBOX\MACHINE\SOFTWARE\AVG";"已删除";"注册表项";"2016/9/10, 22:42:07"
"";", HKEY_USERS\SANDBOX_55566_DEFAULTBOX\MACHINE\SOFTWARE\WOW6432NODE\AVG";"已删除";"注册表项";"2016/9/10, 22:42:07"
"";", HKEY_USERS\SANDBOX_55566_DEFAULTBOX\USER\CURRENT\SOFTWARE\AVG";"已删除";"注册表项";"2016/9/10, 22:42:07"

ccboxes

11日早上8点已入库。
关闭实时监控后双击ATC击杀baidu.com，jpg.exe有签名，看来是白加黑？

lsgster

火绒都清除了

驭龙

TrendMicro 11 普通级行为保护，也就是没有云封锁的Aegis状态
双击，Aegis截杀baidu.com体。


Aegis报毒名。


图片又不显示了？

好想用EMSI

过了ZoneAlarm

驭龙

NSUB最新版本，SONAR毫无反应，难道对付远控，SONAR没有Aegis给力么？有待观察


@pal家族   来试一试卡巴的SW吧，现在公认的主防带回滚的，就差卡巴没有测2016.09.10的样本了

追影子的十三

FS现在已经能杀了，托BD的福...

好想用EMSI

SBIE2205 没有执行服务: WMI \\DESKTOP-IGCD2C3\ROOT\CIMV2:Win32_Service::changestartmode
SBIE2205 没有执行服务: WMI IWbemServices 24
这是反沙盘的节奏？还是穿了？

pal家族

驭龙 发表于 2016-9-11 10:19
NSUB最新版本，SONAR毫无反应，难道对付远控，SONAR没有Aegis给力么？有待观察

肯定拦截不了的。。。。
其实吧，那些可以拦截的，我真的不知道使用什么方法判断出来的。。。。
卡巴肯定歇菜！
不忍心了！

好想用EMSI

pal家族 发表于 2016-9-11 11:24
肯定拦截不了的。。。。
其实吧，那些可以拦截的，我真的不知道使用什么方法判断出来的。。。。
卡巴肯 ...

这个程序能不能穿透sandboxie，求验证，好害怕……