仿腾讯游戏登录程序勒索样本（带无效数签）

显示全部楼层 · 发表于 2017-7-29 18:27:48

盗版vmp壳，所以卡巴直接报了启发。。。。
毕竟商业合作，收钱办事儿。

显示全部楼层 · 发表于 2017-7-29 21:07:29

噗，反虚机

显示全部楼层 · 发表于 2017-7-29 23:06:48

360下载报高风险扫描放过

卡巴 kill

显示全部楼层 · 发表于 2017-7-29 23:22:45

看看什么样子的

显示全部楼层 · 发表于 2017-7-30 08:47:12

本帖最后由 2318227009 于 2017-7-30 08:59 编辑

-r表示重启，-t表示倒计时后执行，-c表示到达指定时间后显示内容，也就是说600秒后自动重启,显示电脑已被黑请联系qq吧。net user用于增加/创建/改动用户
后面的代码表示把密码改成联系qq971233666，把用户名改成q971233666那个随机码前面应该有授值的

显示全部楼层 · 发表于 2017-7-30 10:44:52

行为描述：杀掉进程
详情信息：
C:\WINDOWS\system32\taskmgr.exe
TASKKILL = taskkill /f /im kavsvc.exe
TASKKILL = taskkill /f /im KVXP.kxp
TASKKILL = taskkill /f /im Rav.exe
TASKKILL = taskkill /f /im Ravmon.exe
TASKKILL = taskkill /f /im Mcshield.exe
TASKKILL = taskkill /f /im VsTskMgr.exe
TASKKILL = taskkill /f /im QQPCTray.exe
TASKKILL = taskkill /f /im 360tray.exe
C:\WINDOWS\system32\RavMon.exe
C:\WINDOWS\system32\360tray.exe

显示全部楼层 · 发表于 2017-7-30 10:45:41

行为描述：修改注册表_任务管理器关键属性
详情信息：
\REGISTRY\USER\S-*\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
行为描述：设置消息钩子
详情信息：
C:\Windows\Var1\CFDLLSTART.exe
行为描述：查询注册表_检测虚拟机相关
详情信息：
\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\DriverDesc
\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion
\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\VideoBiosVersion
行为描述：修改注册表_禁用修改IE首页属性
详情信息：
\REGISTRY\USER\S-*\Software\Policies\Microsoft\Internet Explorer\Control Panel\HomePage
行为描述：尝试打开调试器或监控软件的驱动设备对象
详情信息：
\??\SICE
\??\SIWVID
\??\NTICE
行为描述：修改注册表_启动项
详情信息：
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\1121
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\blackmi

显示全部楼层 · 发表于 2017-7-30 18:39:21

本帖最后由 piouu 于 2017-7-30 18:40 编辑

使用沙盘运行，调用某函数失败，貌似是ZWJD.dll

[病毒样本] 仿腾讯游戏登录程序勒索样本（带无效数签）

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源