求解，这是病毒行为吗，这个操作是在干什么

显示全部楼层 · 发表于 2018-3-16 08:44:37

本帖最后由 7840399 于 2018-3-16 08:50 编辑

操作者：C:\Windows\SysWOW64\sdbinst.exe
命令行："C:\Windows\SysWOW64\sdbinst.exe" -q "C:\Program Files\rempl\WindowsSetupIgnoreCompatWarningsCustom.sdb"
风险动作：修改Shim数据库配置项
目标注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\InstalledSDB\{5534e02f-0f5d-40dd-ba92-bea38d22384d}\DatabasePath
操作类型：写入
数据内容：C:\Windows\AppPatch\Custom\Custom64\{5534e02f-0f5d-40dd-ba92-bea38d22384d}.sdb
用户操作：已阻止

这是火绒提示的行为

显示全部楼层 · 发表于 2018-3-16 10:58:19

这报毒率有点低，可能是误报，给火绒反馈下吧

显示全部楼层 · 发表于 2018-3-16 12:33:11

您好，样本已收到，我们这边分析一下给您答复~~~

显示全部楼层 · 发表于 2018-3-16 12:39:21

你上传的是系统程序。
Dridex木马家族曾利用这个系统程序绕过UAC，不过看火绒的报毒，不像是在干这个。

显示全部楼层 · 发表于 2018-3-16 17:09:14

本帖最后由火绒工程师于 2018-3-17 10:21 编辑

您好，该规则已经进行优化，请您将火绒版本升级至最新。给您带来的不变请您谅解。

[求助] 求解，这是病毒行为吗，这个操作是在干什么

本帖子中包含更多资源