被这个东西监控了，360认证的，但是是个马。估计疏忽了。求分析。

显示全部楼层 · 发表于 2017-10-21 11:30:26

本帖最后由举报木马于 2017-10-21 12:00 编辑

被这个东西监控了，360认证的，但是是个马。估计疏忽了。求分析。

下载地址：链接: https://pan.baidu.com/s/1o8HWXE6 密码: cd9w

显示全部楼层 · 发表于 2017-10-21 11:48:02

卡巴不报

显示全部楼层 · 发表于 2017-10-21 11:52:46

显示全部楼层 · 发表于 2017-10-21 12:20:20

毒霸扫描miss

显示全部楼层 · 发表于 2017-10-21 13:01:06

显示全部楼层 · 发表于 2017-10-21 15:49:56

反虚拟机

显示全部楼层 · 发表于 2017-10-21 16:04:38

比较可疑。多种手段反虚拟机、反调试，程序数据加密，有联网和注入系统进程行为。

显示全部楼层 · 发表于 2017-10-21 16:14:41

行为描述：获取硬件属性检测虚拟机
详情信息：
检测Vmware: 调用WMI接口获取硬件信息
行为描述：获取TickCount值
详情信息：
TickCount = 219681, SleepMilliseconds = 10.
TickCount = 223181, SleepMilliseconds = 10.
TickCount = 234728, SleepMilliseconds = 10.
TickCount = 234791, SleepMilliseconds = 10.
TickCount = 234806, SleepMilliseconds = 10.
TickCount = 234838, SleepMilliseconds = 10.
TickCount = 234869, SleepMilliseconds = 10.
TickCount = 234931, SleepMilliseconds = 10.
TickCount = 235056, SleepMilliseconds = 10.
TickCount = 235072, SleepMilliseconds = 10.
TickCount = 235541, SleepMilliseconds = 10.
TickCount = 235572, SleepMilliseconds = 10.
TickCount = 235588, SleepMilliseconds = 10.
TickCount = 236119, SleepMilliseconds = 10.
TickCount = 236260, SleepMilliseconds = 10.
行为描述：打开注册表_检测虚拟机相关
详情信息：
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Oracle VM VirtualBox Guest Additions
行为描述：修改注册表_系统防火墙可信进程列表
详情信息：
\REGISTRY\MACHINE\SYSTEM\ControlSet002\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\Users\public\clientwlg\wlg_ctrl.exe
\REGISTRY\MACHINE\SYSTEM\ControlSet002\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\Users\public\clientwlg\wlg_rcap.exe
\REGISTRY\MACHINE\SYSTEM\ControlSet002\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\Users\public\clientwlg\rctrl_server.exe
\REGISTRY\MACHINE\SYSTEM\ControlSet002\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\Users\public\clientwlg\wlg_contact.exe
行为描述：杀掉进程
详情信息：
C:\WINDOWS\system32\finclean.exe
行为描述：创建系统服务
详情信息：
[服务创建成功]: WLG_RCTRL_SERVER, "C:\Users\public\clientwlg\rctrl_server.exe" -service
[服务创建成功]: wlg_Minispy, system32\DRIVERS\wlg_minispy.sys
行为描述：修改注册表_启动项
详情信息：
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\GrpConv

显示全部楼层 · 发表于 2017-10-21 16:32:04

WIEP 扫描不报。

显示全部楼层 · 发表于 2017-10-21 16:41:05

红伞Miss

[可疑文件] 被这个东西监控了，360认证的，但是是个马。估计疏忽了。求分析。

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分