一个批处理，不知道是个啥，在启动项目里

Agu

雙擊後下載兩個VBS檔

https://www.virustotal.com/en/fi ... nalysis/1497589779/
https://www.virustotal.com/en/fi ... nalysis/1497589770/

Panda - Miss

随便注册

批处理和楼上的附件都有类似chr(strs(i))语句，猜测数字就是普通的字符编码，批处理可能有字数限制才分行。
http://www.ascii.net.cn/

用楼上的附件转了下，但是不懂VBS，而且里面有带负号的，数字也超大，转不出来。

kepuzhishi

bbs2811125 发表于 2017-6-16 11:53
求教一下你这个代码文本是怎么复制的？可以内部滚轮查看

[mw_shl_code=javascript,true]console.log("回复框点插入代码<>")
[/mw_shl_code]

schumi小粉

双击，HIPS提示隔离，隔离后，剩下一个VBS衍生物，然后双击VBS衍生物后，云信誉隔离！



Emsisoft Anti-Malware - Version 2017.5
BB log

日期        PID        程序        事件        威胁名称       
2017/6/16 16:51:24        1188        C:\Users\Turbo X\Desktop\Warcraft\Msg.vbs        云端：隔离        Behavior.Spyware       
2017/6/16 16:51:12        2188        C:\Users\Turbo X\Desktop\Warcraft\Warcraft.bat        用户判断：隔离        Behavior.CodeInjector       
2017/6/14 15:40:18        0        C:\Windows\Installer\MSI3861.tmp        添加规则               
2017/6/14 15:40:18        2468        C:\Windows\Installer\MSI3861.tmp        云端：允许，并新建规则        Behavior.HiddenInstallation       
2017/6/14 15:40:11        0        C:\Windows\Installer\MSI22DC.tmp        添加规则               
2017/6/14 15:40:11        1248        C:\Windows\Installer\MSI22DC.tmp        云端：允许，并新建规则        Behavior.HiddenInstallation       
2017/6/14 15:40:06        0        C:\Windows\Installer\MSI11BB.tmp        添加规则               
2017/6/14 15:40:06        3028        C:\Windows\Installer\MSI11BB.tmp        云端：允许，并新建规则        Behavior.HiddenInstallation

HEMM

电脑发烧友 发表于 2017-6-16 12:21
卡巴刚刚发完疯，过来发帖了。没有删除样本，但是衍生物都删光了（还好没把我的隐私删了）

你的隐私是啥？为什么卡巴要删除你的隐私？

HEMM

ELOHIM 发表于 2017-6-16 13:03
maomao 你什么时候发现的？玩魔兽？
这个脚本貌似是有问题的。
MSE不管。

你猜~
嘻嘻！反正我这边这货是死的~

HEMM

schumi小粉 发表于 2017-6-16 16:53
双击，HIPS提示隔离，隔离后，剩下一个VBS衍生物，然后双击VBS衍生物后，云信誉隔离！

对吧！这个东西很可疑吧~

bbs2811125

回复错帖子了，编辑掉

引领五基生活

卡巴扫描miss

沧桑浪子

360安全卫士右键隔离沙箱双击

360杀毒实时防护日志

时间                    防护说明                                                                  处理结果                                                        文件
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
2017-06-16 20:30:37     恶意软件(virus.bat.warcraft.a)                                            已删除此文件，如果您发现误删，可从隔离区恢复此文件。        c:\360sandbox\shadow\documents and settings\administrator\local settings\temp\360zip$temp\360$0\warcraft.bat