一个激活工具

pal家族

像我这种卡巴用户，什么激活，破解，统统加白了，为何要杀呢》

不过既然来发样本了，那一定是有意思的东西！

样本的版权来自：
http://bbs.duba.net/thread-23381523-1-1.html

我不太清楚这位同学是不是安装了hr
可能没有吧
hr毕竟专业杀小马等激活1w年

xiiz

腾讯管家下载杀

fireherman

ESET-NOD32 ESS 8

下载马上 kill(pup)

[mw_shl_code=css,true]2016-9-17 17:11:55        文件系统实时防护        文件        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        Win32/HackTool.KMSAuto.F 潜在的不安全应用程序        已删除        RAYMOND-9B1A7AC\Raymond        在应用程序新建的文件上发生事件: C:\Program Files\7-Zip\7zG.exe (95CE9136E708712C2A29EE18BE48DD028018B558).        8B76B2BA6617E137FE62B6874D3D8FC5651AC03B        2016-9-17 17:11:54[/mw_shl_code]

---

暂时解除



建立防火墙规则放行（允许）

通信记录：

[mw_shl_code=css,true]2016-9-17 17:16:03        规则允许的通信        0.0.0.0:1135        222.186.60.107:80        TCP        允许 KMS_5053_1.exe 通信(5)        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        RAYMOND-9B1A7AC\Raymond
2016-9-17 17:16:03        规则允许的通信        0.0.0.0:1133        222.186.60.107:80        TCP        允许 KMS_5053_1.exe 通信(5)        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        RAYMOND-9B1A7AC\Raymond
2016-9-17 17:15:37        规则允许的通信        0.0.0.0:1129        211.144.95.52:80        TCP        允许 KMS_5053_1.exe 通信(4)        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        RAYMOND-9B1A7AC\Raymond
2016-9-17 17:15:22        规则允许的通信        0.0.0.0:1128        115.29.43.233:18818        UDP        允许 KMS_5053_1.exe 通信(3)        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        RAYMOND-9B1A7AC\Raymond
2016-9-17 17:14:58        规则允许的通信        0.0.0.0:1126        123.125.29.252:80        TCP        允许 KMS_5053_1.exe 通信(2)        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        RAYMOND-9B1A7AC\Raymond
2016-9-17 17:14:49        规则允许的通信        0.0.0.0:1125        111.161.111.28:80        TCP        允许 KMS_5053_1.exe 通信        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        RAYMOND-9B1A7AC\Raymond[/mw_shl_code]

---

好戏来了。

激活完毕，强制系统重启。

[mw_shl_code=css,true]2016-9-17 17:16:03        http://pz.w7q.net/mm/qd/instat.p ... 5a5c294ea8962722b59        被内部黑名单阻止        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        RAYMOND-9B1A7AC\Raymond        222.186.60.107      
2016-9-17 17:16:03        http://pz.w7q.net/mm2/up/modup.p ... 4ba87b88d530c9369b0        被内部黑名单阻止        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        RAYMOND-9B1A7AC\Raymond        222.186.60.107      
2016-9-17 17:15:37        http://inapi.w7q.net/index.php?e ... sS4IJTsVMRWRZzBin5T        被内部黑名单阻止        E:\VirZ\KMS10.xp510.com\KMS_5053_1.exe        RAYMOND-9B1A7AC\Raymond        211.144.95.52[/mw_shl_code]



估计又是浏览器首页劫持之类的东西。

怪不得2345能混到上市

南海游仙

金山已杀

蓝天二号

AVG

神迹般存在

卡巴报Trojan-Ransom.Win32.Blocker.ihrn


这已不是普通的伪小马激活KMS10了吧……


←_←撸主性别不错

chenxipg

上上报了吗,卡巴网页拦截了

无法访问该网页

对象网址:

https://att.kafan.cn/forum.php?mo ... Dk3NTIxM3wyMDU3MDg2

原因:

对象感染源 Trojan-Ransom.Win32.Blocker.ihrn

vm001

之前就抓到过同类的
http://bbs.kafan.cn/thread-2049985-1-1.html

尘梦幽然

共和时代

然后自动打开了网页