捕獲到的惡意程式疑似資料夾病毒

显示全部楼层 · 发表于 2018-8-5 13:14:54

本帖最后由 a7878330 于 2018-8-5 13:16 编辑

分析報告:https://www.virustotal.com/zh-tw ... nalysis/1533446079/
我剛剛用捕病毒的環境又抓到了

显示全部楼层 · 发表于 2018-8-5 13:18:46

Kaspersky

捕獲到的惡意程式資料夾病毒/MessageCenter.exe;Trojan-Spy.Win32.AutoIt.p

显示全部楼层 · 发表于 2018-8-5 13:27:16

BD

Trojan.Generic.6257285

显示全部楼层 · 发表于 2018-8-5 13:38:12

显示全部楼层 · 发表于 2018-8-5 13:50:59

Avira
TR/Autoit.kbbyq

显示全部楼层 · 发表于 2018-8-5 14:12:54

这行为···也太明显了点

2018\8\5 星期日 14:07:47 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusOverride
值: 0x00000001(1)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]〖询问〗系统设置 -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center
2018\8\5 星期日 14:07:47 安装全局消息钩子阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序组]〖限制〗低权限
2018\8\5 星期日 14:07:54 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify
值: 0x00000001(1)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]〖询问〗系统设置 -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center
2018\8\5 星期日 14:07:57 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify
值: 0x00000001(1)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]〖询问〗系统设置 -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center
2018\8\5 星期日 14:07:59 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallOverride
值: 0x00000001(1)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]〖询问〗系统设置 -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center
2018\8\5 星期日 14:08:01 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify
值: 0x00000001(1)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]〖询问〗系统设置 -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center
2018\8\5 星期日 14:08:03 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UacDisableNotify
值: 0x00000001(1)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]〖询问〗系统设置 -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center
2018\8\5 星期日 14:08:09 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA
值: 0x00000000(0)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]〖询问〗恶意设置 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*
2018\8\5 星期日 14:08:10 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
值: 0x00000000(0)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]【拦截】网络设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess\Parameters\FirewallPolicy*
2018\8\5 星期日 14:08:10 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DoNotAllowExceptions
值: 0x00000000(0)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]【拦截】网络设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess\Parameters\FirewallPolicy*
2018\8\5 星期日 14:08:10 修改注册表值阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DisableNotifications
值: 0x00000001(1)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]【拦截】网络设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess\Parameters\FirewallPolicy*
2018\8\5 星期日 14:08:10 修改文件阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: C:\Windows\system.ini
规则: [应用程序组]〖限制〗低权限 -> [文件组]〖保护〗系统目录 -> [文件]?:\windows\*
2018\8\5 星期日 14:08:10 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\system32\taskhost.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:10 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\system32\dwm.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:10 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:10 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\system32\taskeng.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:10 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\program files\itunes\ituneshelper.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:10 修改其他进程的内存 (6) 阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: d:\program files\firefox.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:20 安装全局消息钩子阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序组]〖限制〗低权限
2018\8\5 星期日 14:08:20 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\system32\taskhost.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:20 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\system32\dwm.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:20 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:20 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\system32\taskeng.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:20 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\program files\itunes\ituneshelper.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:20 修改其他进程的内存 (6) 阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: d:\program files\firefox.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:20 修改其他进程的内存阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\system32\dllhost.exe
规则: [应用程序组]〖限制〗低权限 -> [目标应用程序]｛过滤｝进程劫持 -> [应用程序]*
2018\8\5 星期日 14:08:30 修改文件阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: F:\$AVG\FSCapture_7.3_Chs\FSCapture\FSCapture.exe
规则: [应用程序组]〖限制〗低权限 -> [文件组]｛全局｝常见文件保护 -> [文件]*; *.exe
2018\8\5 星期日 14:08:34 修改注册表值阻止并结束进程
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusOverride
值: 0x00000001(1)
规则: [应用程序组]〖限制〗低权限 -> [注册表组]〖询问〗系统设置 -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center
2018\8\5 星期日 14:08:35 创建新进程阻止并结束进程
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\system32\werfault.exe
命令行: C:\Windows\system32\WerFault.exe -u -p 3628 -s 1076
规则: [应用程序组]〖限制〗低权限
2018\8\5 星期日 14:08:35 结束其他进程阻止
进程: d:\$a secret area\virus\捕獲到的惡意程式資料夾病毒\rundll32.exe
目标: c:\windows\system32\werfault.exe
规则: [应用程序组]〖限制〗低权限

复制代码

话说，lz居然自己搭了个honeypot，厉害厉害

显示全部楼层 · 发表于 2018-8-5 14:19:14

火绒

显示全部楼层 · 发表于 2018-8-5 16:20:09

又来晚了，火绒、智量都有。。

显示全部楼层 · 发表于 2018-8-5 18:50:10

ns kill

显示全部楼层 · 发表于 2018-8-5 18:56:21

Windows Defender 防病毒程序已采取措施保护此计算机免受恶意软件或其他潜在垃圾软件的侵害。
请参阅以下详细信息:
https://go.microsoft.com/fwlink/?linkid=37020&name=Virus:Win32/Sality.AT&threatid=2147632182&enterprise=0
名称: Virus:Win32/Sality.AT
ID: 2147632182
严重性: 严重
类别: 病毒
路径: file:_D:\迅雷下载\病毒测试区\捕獲到的惡意程式資料夾病毒\捕獲到的惡意程式資料夾病毒\rundll32.exe
检测来源: 本地计算机
检测类型: 实际
检测源: 实时保护
进程名称: C:\Windows\explorer.exe
操作: 清除
操作状态: No additional actions required
错误代码: 0x80508023
错误描述: 程序在此设备上找不到恶意软件和其他可能不需要的软件。
签名版本: AV: 1.273.865.0, AS: 1.273.865.0, NIS: 1.273.865.0
引擎版本: AM: 1.1.15100.1, NIS: 1.1.15100.1

复制代码

Windows Defender 防病毒程序已采取措施保护此计算机免受恶意软件或其他潜在垃圾软件的侵害。
请参阅以下详细信息:
https://go.microsoft.com/fwlink/?linkid=37020&name=Worm:Win32/Babonock!rfn&threatid=2147719738&enterprise=0
名称: Worm:Win32/Babonock!rfn
ID: 2147719738
严重性: 严重
类别: 蠕虫
路径: file:_D:\迅雷下载\病毒测试区\捕獲到的惡意程式資料夾病毒\捕獲到的惡意程式資料夾病毒\MessageCenter.exe
检测来源: 本地计算机
检测类型: 实际
检测源: 实时保护
进程名称: C:\Windows\explorer.exe
操作: 隔离
操作状态: No additional actions required
错误代码: 0x80508023
错误描述: 程序在此设备上找不到恶意软件和其他可能不需要的软件。
签名版本: AV: 1.273.865.0, AS: 1.273.865.0, NIS: 1.273.865.0
引擎版本: AM: 1.1.15100.1, NIS: 1.1.15100.1

复制代码

[病毒样本] 捕獲到的惡意程式疑似資料夾病毒

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

[病毒样本] 捕獲到的惡意程式 疑似資料夾病毒

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

[病毒样本] 捕獲到的惡意程式疑似資料夾病毒