【虐杀MD第8发，填坑系列】XP32位下完美击穿MD

C-FBI-QM

VB虚拟机已经被OD搞死

lifan88

tg123321 发表于 2017-1-21 16:16
晚上用老电脑实机测md，等着吧

期待，这毒手杀我已经在楼上贴了，你可以看看，以防万一

lifan88

左手 发表于 2017-1-18 17:40
先说说看，要不要需要重装系统之类，是敲诈者之类的吗？
我实机哦。。

对不起啊。。。忘记上图了

电脑发烧友

我这里尝试手刹将近20分钟最终以失败告终，没有尝试用楼主的方法。有时间上毛豆的测试。

tg123321

lifan88 发表于 2017-1-21 18:37
期待，这毒手杀我已经在楼上贴了，你可以看看，以防万一

这是按行为测试规则操作的结果，否则我这里的规则会直接阻止你那步修改注册表然后结束进程
2017-1-21 21:29:57    加载动态链接库    允许
进程: f:\virustest\md终结者\md终结者.exe
目标: c:\windows\system32\imm32.dll
规则: [应用程序组]● 行为测试规则

2017-1-21 21:29:57    加载动态链接库    允许
进程: f:\virustest\md终结者\md终结者.exe
目标: c:\windows\system32\lpk.dll
规则: [应用程序组]● 行为测试规则

2017-1-21 21:29:57    加载动态链接库    允许
进程: f:\virustest\md终结者\md终结者.exe
目标: c:\windows\system32\usp10.dll
规则: [应用程序组]● 行为测试规则

2017-1-21 21:30:11    修改注册表值    阻止
进程: f:\virustest\md终结者\md终结者.exe
目标: HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\Configuration Data
值: ff ff ff ff ff ff ff ff 00 00 00 00 02 00 00 00 05 00 00 00 0c 00 00 00 00 00 00 00 00 00 00 00 80 00 ff 03 00 00 04 00 80 00 01 00 05 00 00 00 20 00 00 00 00 00 00 00 00 00 00 00 00 00 0c 00 00 f0 00 00 00 00 0e 00 00 00 01 00 00 00 0f 00 00 00 01 00 50 54 50 00 00 10 00 00
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]HKEY_LOCAL_MACHINE\HARDWARE\*

2017-1-21 21:30:27    创建文件    阻止
进程: f:\virustest\md终结者\md终结者.exe
目标: C:\Documents and Settings\TerryTian\Local Settings\Temp\supbdevlxhz.sys
规则: [应用程序组]● 行为测试规则 -> [文件组]■ 所有执行文件（阻止） -> [文件]*; *.sys

tg123321

lifan88 发表于 2017-1-21 18:37
对不起啊。。。忘记上图了

允许创建sys之后
2017-1-21 21:37:17    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\virustest\md终结者\md终结者.exe
命令行: "F:\virustest\MD终结者\MD终结者.exe"
规则: [应用程序]c:\windows\explorer.exe -> [子应用程序]?:\*.*

2017-1-21 21:37:18    加载动态链接库    允许
进程: f:\virustest\md终结者\md终结者.exe
目标: c:\windows\system32\imm32.dll
规则: [应用程序组]● 行为测试规则

2017-1-21 21:37:18    加载动态链接库    允许
进程: f:\virustest\md终结者\md终结者.exe
目标: c:\windows\system32\lpk.dll
规则: [应用程序组]● 行为测试规则

2017-1-21 21:37:18    加载动态链接库    允许
进程: f:\virustest\md终结者\md终结者.exe
目标: c:\windows\system32\usp10.dll
规则: [应用程序组]● 行为测试规则

2017-1-21 21:37:28    修改注册表值    阻止
进程: f:\virustest\md终结者\md终结者.exe
目标: HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\Configuration Data
值: ff ff ff ff ff ff ff ff 00 00 00 00 02 00 00 00 05 00 00 00 0c 00 00 00 00 00 00 00 00 00 00 00 80 00 ff 03 00 00 04 00 80 00 01 00 05 00 00 00 20 00 00 00 00 00 00 00 00 00 00 00 00 00 0c 00 00 f0 00 00 00 00 0e 00 00 00 01 00 00 00 0f 00 00 00 01 00 50 54 50 00 00 10 00 00
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]HKEY_LOCAL_MACHINE\HARDWARE\*

2017-1-21 21:37:38    创建文件    允许
进程: f:\virustest\md终结者\md终结者.exe
目标: C:\Documents and Settings\TerryTian\Local Settings\Temp\eubbdgu.sys
规则: [应用程序组]● 行为测试规则 -> [文件组]■ 所有执行文件（阻止） -> [文件]*; *.sys

2017-1-21 21:37:55    创建注册表项 (2)    阻止
进程: f:\virustest\md终结者\md终结者.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vusidhv
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\*ControlSet*\Services\*

lifan88

tg123321 发表于 2017-1-21 21:30
这是按行为测试规则操作的结果，否则我这里的规则会直接阻止你那步修改注册表然后结束进程
2017-1 ...

不是说了么，允许注册表有惊喜

lifan88

C-FBI-QM 发表于 2017-1-21 16:54
VB虚拟机已经被OD搞死

哀悼

lifan88

电脑发烧友 发表于 2017-1-21 19:56
我这里尝试手刹将近20分钟最终以失败告终，没有尝试用楼主的方法。有时间上毛豆的测试。

不能吧？这货手杀很好对付的

lifan88

tg123321 发表于 2017-1-21 21:38
允许创建sys之后
2017-1-21 21:37:17    创建新进程    允许
进程: c:\windows\explorer.exe

不是创建驱动，是允许注册表。。。
这步相关允许啊

2017-1-21 21:37:28    修改注册表值    阻止
进程: f:\virustest\md终结者\md终结者.exe
目标: HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\Configuration Data
值: ff ff ff ff ff ff ff ff 00 00 00 00 02 00 00 00 05 00 00 00 0c 00 00 00 00 00 00 00 00 00 00 00 80 00 ff 03 00 00 04 00 80 00 01 00 05 00 00 00 20 00 00 00 00 00 00 00 00 00 00 00 00 00 0c 00 00 f0 00 00 00 00 0e 00 00 00 01 00 00 00 0f 00 00 00 01 00 50 54 50 00 00 10 00 00
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]HKEY_LOCAL_MACHINE\HARDWARE\*