哲♂学

显示全部楼层 · 发表于 2018-7-18 16:17:47

www-tekeze 发表于 2018-7-18 16:06
刚在实机沙盘里双击，会创建高权限进程，explorer失去响应，快捷键启动任务管理器，但却无法结束，最终只 ...

从OP拦截的来看似乎注入了explorer，所以explorer才会卡死

显示全部楼层 · 发表于 2018-7-18 16:30:59

swizzer 发表于 2018-7-18 16:17
从OP拦截的来看似乎注入了explorer，所以explorer才会卡死

火绒系统加固里对explorer有防篡改、防注入的双重保护，如果真被inject却没反应，那我得去火绒论坛发贴了。。

PS：晚上抽空虚拟机里看下，微步云沙箱也可看下行为。。。

显示全部楼层 · 发表于 2018-7-18 20:02:19

swizzer 发表于 2018-7-18 13:33
360tse miss，OP判定评级良好，在最高防护下拦截（貌似是阻止注入和启动cmd什么的，没保存日志）从衍生物来 ...

360现在已拉黑 Trojan.Generic

显示全部楼层 · 发表于 2018-7-18 20:08:02

www-tekeze 发表于 2018-7-18 16:30
火绒系统加固里对explorer有防篡改、防注入的双重保护，如果真被inject却没反应，那我得去火绒论坛发贴了 ...

我双击时OP提示了修改explorer内存，不知是真是假

显示全部楼层 · 发表于 2018-7-18 20:13:44

趋势miss

显示全部楼层 · 发表于 2018-7-18 21:42:21

swizzer 发表于 2018-7-18 20:08
我双击时OP提示了修改explorer内存，不知是真是假

虚拟机里放开跑了下，火绒系统加固也没弹窗，只是会调用cmd和powershell，也用火绒剑监控了下，但很快风扇狂转，动不了了。。

也许只是占用CPU太高，没有注入explorer吧？

显示全部楼层 · 发表于 2018-7-19 11:57:38

SCEP 云AI杀

Trojan:Script/Cloxer.D!cl

发生下列错误: 错误代码 0x80508023。该程序在此计算机上找不到间谍软件和其他潜在的垃圾软件。

类别: 特洛伊木马

描述: 这个程序很危险，而且执行来自攻击者的命令。

推荐的操作: 立即删除这个软件。

项目:
file:C:\Users\Administrator\Downloads\哲♂学.zip
webfile:C:\Users\Administrator\Downloads\哲♂学.zip|https://att.kafan.cn/forum.php?mo ... Dh8MjEyNzg2NQ%3D%3D|opera.exe

显示全部楼层 · 发表于 2018-7-19 12:14:09

www-tekeze 发表于 2018-7-18 21:42
虚拟机里放开跑了下，火绒系统加固也没弹窗，只是会调用cmd和powershell，也用火绒剑监控了下，但很快风 ...

奇怪，我双击时OP报告了某tmp文件修改explorer内存，阻止后cpu也没有飙高

显示全部楼层 · 发表于 2018-7-19 15:20:29

安装过程中费尔报病毒低风险 clean

显示全部楼层 · 发表于 2018-7-19 19:37:00

还好我小a开了加强模式……拦下来了（avast右键miss，火绒报gen）

[病毒样本] 哲♂学

本帖子中包含更多资源