奇葩样本系列之一（浙江温州恶搞？）【双击有惊喜】

显示全部楼层 · 发表于 2017-7-4 00:40:42

火絨掃描 MISS
運行中獎......................
所以火絨對這樣本沒抵抗能力

显示全部楼层 · 发表于 2017-7-4 08:41:32

卡巴入库什么鬼

04.07.2017 08.41.19;检测到的对象 ( 文件 ) 已删除;D:\360安全浏览器下载\浙江温州恶搞\Windows.exe;WinRAR 压缩文件管理器;D:\360安全浏览器下载\浙江温州恶搞\Windows.exe;07/04/2017 08:41:19;Trojan.Win32.Agent.nezudk

显示全部楼层 · 发表于 2017-7-4 10:41:22

2017/7/4 星期二 10:22:11 创建文件夹允许
进程: d:\aqrtarea\virus\windows.exe
目标: C:\Users\Administrator\AppData\Local\Temp\E_N60005
规则: [应用程序组]『询问』病毒测试 -> [文件组]Temp缓存 -> [文件]*\temp\*

2017/7/4 星期二 10:22:13 创建文件允许
进程: d:\aqrtarea\virus\windows.exe
目标: C:\Users\Administrator\AppData\Local\Temp\E_N60005\krnln.fnr
规则: [应用程序组]『询问』病毒测试 -> [文件组]Temp缓存 -> [文件]*\temp\*

2017/7/4 星期二 10:22:15 创建文件允许
进程: d:\aqrtarea\virus\windows.exe
目标: C:\Users\Administrator\AppData\Local\Temp\E_N60005\eAPI.fne
规则: [应用程序组]『询问』病毒测试 -> [文件组]Temp缓存 -> [文件]*\temp\*

2017/7/4 星期二 10:22:17 加载动态链接库允许
进程: d:\aqrtarea\virus\windows.exe
目标: c:\users\administrator\appdata\local\temp\e_n60005\krnln.fnr
规则: [应用程序]* -> [动态链接库]*\*.fnr

2017/7/4 星期二 10:22:20 结束其他进程阻止
进程: d:\aqrtarea\virus\windows.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]『询问』病毒测试

2017/7/4 星期二 10:22:24 修改注册表值阻止
进程: d:\aqrtarea\virus\windows.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\windows
值: D:\AQrtArea\virus\Windows.exe
规则: [应用程序组]『询问』病毒测试 -> [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2017/7/4 星期二 10:22:34 结束其他进程 (8) 阻止
进程: d:\aqrtarea\virus\windows.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]『询问』病毒测试
没什么特别~

显示全部楼层 · 发表于 2017-7-4 11:33:26

emsi 云鉴定 kill

显示全部楼层 · 发表于 2017-7-5 13:36:10

还有创建密码的行为，诺顿被过掉了！

显示全部楼层 · 发表于 2017-7-6 10:32:36

费尔右键miss
双击重启...动态miss
辛亏知道密码。。。

显示全部楼层 · 发表于 2017-7-6 11:47:23

本帖最后由狐狸糊涂于 2017-7-6 11:50 编辑

卡巴双击,回滚操作,注销正常..

显示全部楼层 · 发表于 2017-7-7 02:29:44

GD还是666

AVA 25.13252
GD 25.9939

*** Process ***

Process: 6248
File name: Windows.exe
Path: d:\迅雷下载\浙江温州恶搞\windows.exe

Publisher: Unknown publisher
Creation date: 2017年7月3日 19:26:39
Modification date: 2017年2月18日 15:58:27

Started by: Explorer.EXE
Publisher: Microsoft Windows

*** Actions ***

The virus scanner has detected that the file is malicious.
A packer was run on the program file, possibly to conceal malicious content.
The program is trying to create a startup item to launch a program automatically at system startup.
An unknown process was accessed.

*** Quarantine ***

The following files were moved into quarantine:
C:\Users\Administrator\AppData\Local\Temp\E_N60005\eAPI.fne
C:\Users\Administrator\AppData\Local\Temp\E_N60005\krnln.fnr
D:\迅雷下载\浙江温州恶搞\Windows.exe

The following registry entries were deleted:

\registry\machine\software\wow6432node\microsoft\windows\currentversion\run || windows

YHKCCCwnJycnJgYtJygnKCYGLycpJykmBqdCJyl0kmJicCsnKScpJgbHcpJykmJigC4nJycnJga5cnII2XJywConJycnJgZtcoJygmJi8CgnKicqJgZ3KicHhysnKCcoJganKxd+NWYtJxd+NWYtJyYGty8nJycnJgbXKScoJygmBucoJ+dwj3LCgK5ygoC+coJiYnKCAAA
Rules version: 5.0.147
OS: Windows 10.0 Service Pack 0.0 Build: 14393 - Workstation 64bit OS
dll version: 68091

"D:\迅雷下载\浙江温州恶搞\Windows.exe"
MD5: 92E0246A47A769258D96C02006F64B45
explorer.exe
MD5: 05181A5AC4197D6C5C02ACE6070AF234

显示全部楼层 · 发表于 2017-7-7 17:22:06

电脑管家扫描成功
Trojan.Win32.Agent.nezudk
一个恶搞
居然都能报
厉害

[病毒样本] 奇葩样本系列之一（浙江温州恶搞？）【双击有惊喜】

本帖子中包含更多资源

本帖子中包含更多资源