不知道是什么

xiaozhu2mcq

是病毒吗？（图片第一个恢复不成功，好像不能写入那个文件夹）

https://www.virustotal.com/#/file/7deaacf1b7031400aae903b4976e898daa1cf3b7b619a7bcb05b83a7d0fcec06/detection

Jirehlov1234

附件卡巴信任

xiaozhu2mcq

行为：
09:12:17[1]：(允许)程序启动：File_Analysis 行为记录成功开启   规则版本：2.6.0.0

09:12:17[2]：(允许)字符串4：kernelbase.dll

09:12:17[3]：(允许)字符串4：C:\Windows\system32\uxtheme.dll

09:12:17[4]：(允许)字符串4：uxtheme.dll

09:12:17[6]：(允许)字符串4：kernelbase.dll

09:12:17[7]：(允许)字符串4：MSCTF.dll

09:12:17[8]：(允许)字符串4：OLEAUT32.dll

09:12:17[10]：(允许)字符串4：MSCTF.dll

09:12:17[11]：(允许)字符串4：kernelbase.dll

09:12:17[12]：(允许)字符串4：ole32.dll

09:12:17[13]：(允许)字符串3：OANOCACHE

09:12:17[14]：(允许)字符串3：OAPERUSERTLIBREG

09:12:17[15]：(允许)字符串3：OACACHEPARAMS

09:12:17[16]：(允许)字符串3：SOFTWARE\Microsoft\OLEAUT

09:12:17[17]：(允许)字符串4：kernelbase.dll

09:12:17[18]：(允许)字符串2：Window

09:12:17[20]：(允许)字符串4：dwmapi.dll

09:12:17[22]：(允许)字符串4：kernelbase.dll

09:12:17[23]：(允许)字符串4：rpcss.dll

09:12:17[24]：(允许)字符串4：rpcrt4.dll

09:12:17[25]：(允许)字符串3：Software\Microsoft\Rpc

09:12:17[26]：(允许)字符串3：MaxRpcSize

09:12:17[27]：(允许)字符串3：ntdll.dll

09:12:17[28]：(允许)加载库文件：ntdll.dll     函数名：NtOpenKey

09:12:17[29]：(允许)字符串4：Software\Policies\Microsoft\Windows NT\Rpc

09:12:17[30]：(允许)字符串4：Software\Microsoft\Rpc

09:12:17[31]：(允许)字符串4：IdleTimerWindow

09:12:17[32]：(允许)字符串2：WMIADAP.exe

09:12:17[33]：(允许)字符串4：\Registry\User\

09:12:17[34]：(允许)字符串4：_Classes

09:12:17[35]：(允许)字符串4：AppID\WMIADAP.exe

09:12:17[36]：(允许)字符串4：\REGISTRY\USER\S-1-5-21-575445458-3943937398-2731844716-500_Classes\

09:12:17[37]：(允许)字符串4：\Registry\User

09:12:17[38]：(允许)字符串4：_Classes

09:12:18[39]：(允许)字符串4：\Registry\Machine\Software\Classes

09:12:18[40]：(允许)字符串4：Software\Microsoft\WBEM\CIMOM

09:12:18[41]：(允许)字符串4：ProcessID

09:12:18[42]：(阻止)进程操作：向其他窗口发送恶意消息     窗口句柄：131572

09:12:20[43]：(允许)获取进程快照：WMIADAP.exe     进程PID：8232

09:12:20[45]：(允许)程序退出：File_Analysis 行为记录到此为止

聆听落雨

wangyuhe

ESETTmiss

xiaozhu2mcq

感觉没什么恶意行为，为什么会被腾讯报木马呢？

WhiteCruel

360 Miss

Jerry.Lin

ATC 回滚时顺带的吧

Jirehlov1234

191196846 发表于 2018-5-13 10:43
ATC 回滚时顺带的吧

腾管的ATC带回滚的啊？我以为是ATD才加入的技术

Jerry.Lin

Jirehlov1234 发表于 2018-5-13 11:37
腾管的ATC带回滚的啊？我以为是ATD才加入的技术

准确来说不能算回滚吧

比如我用WINRAR直接运行样本，他会把我的WINRAR当做木马一并清掉