远控木马【关键是启动项加的牛逼--二楼有查杀方法】

cwl12315

BDF，ATC kill

电脑发烧友

果然还是用传统方法来干比较好。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\BITS\Start

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\MSDTC\Start

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\clr_optimization_v4.0.30319_32\Start

禁止修改这三项即可避免恶心的自启动。
如果没有堵死以上三项，重启之后会有改动以下注册表

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\NvBacken        发起者：msdtc.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\eventlog\ServiceDll        发起者：ctfmon.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Hellowor        发起者：services.exe

以上注册表均为自启动相关注册表

vm001

电脑发烧友 发表于 2017-2-11 23:46
果然还是用传统方法来干比较好。

禁止修改这三项即可避免恶心的自启动。

样本的启动和这些都没关系。。就算是吧msdtc服务禁用了，你上面这些都正常的话，样本还是会被svchost.exe给启动的

电脑发烧友

vm001 发表于 2017-2-12 00:30
样本的启动和这些都没关系。。就算是吧msdtc服务禁用了，你上面这些都正常的话，样本还是会被svchost.e ...

但是拦截之后确实不会自启

电脑发烧友

vm001 发表于 2017-2-12 00:30
样本的启动和这些都没关系。。就算是吧msdtc服务禁用了，你上面这些都正常的话，样本还是会被svchost.e ...

拦截了前三个注册表之后，重启后样本并未自启，我也恢复快照试了好几次 ，基本排除了意外。

vm001

电脑发烧友 发表于 2017-2-12 00:39
拦截了前三个注册表之后，&# ...

他不是开机马上启动，而是过一会用svchost.exe来启动，
你可以这样测试，除了run启动项你全部放过去，然后看行为，之后再修复你指出的这些
而我这这里测试，你说的那些都正常样本还是会被svchost.exe不时的启动

dongwenqi

784696777 发表于 2017-2-10 20:10
母体
卡巴斯基安全软件
拒绝访问

感谢您的帮助，在您提交的样本中有新的发现，请稍后更新最新数据库试一下
not-a-virus:RiskTool.Win64.Agent.dw

电脑发烧友

vm001 发表于 2017-2-12 00:43
他不是开机马上启动，而是过一会用svchost.exe来启动，
你可以这样测试，除了run启动项你全部放过去，然 ...

【白旗】 @lixihong10

vm001

电脑发烧友 发表于 2017-2-12 13:26
【白旗】 @lixihong10

目前终于找到了，和你说的是同样的注册表项，只是值不同，不明白他们和这个ms。。文件夹有什么关系
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS\DelayedAutostart数据改为1，样本就起不来了

电脑发烧友

vm001 发表于 2017-2-12 18:09
目前终于找到了，和你说的是同样的注册表项，只是值不同，不明白他们和这个ms。。文件夹有什么关系
HKEY ...

没发现路经么？我也一直在奇怪，为什么这几个注册表连启动路经都没有。