捕獲到的惡意程式 疑似資料夾病毒

a7878330

18603867890 发表于 2018-8-7 16:01
看着不旧

???????????

wk2534425660

a7878330 发表于 2018-8-7 16:40
???????????

不像是旧样本

swizzer

18603867890 发表于 2018-8-6 17:01
微步在线云沙箱：https://s.threatbook.cn/report/file/8d987db0258365bd22ce7ec9d0a7badf77874ccc463bf4ee ...

那个记录键盘……其实就是安装了一个钩子，不像记录信息，倒像干扰用户操作

wk2534425660

swizzer 发表于 2018-8-7 17:29
那个记录键盘……其实就是安装了一个钩子，不像记录信息，倒像干扰用户操作

一般情况下我们把这当做后门，用途为██，干扰用户操作是怎么一说？而且这种病毒追求的是隐藏性，而不应该做的那么显眼，如果你是病毒作者，你会选择哪种？

wk2534425660

swizzer 发表于 2018-8-7 17:29
那个记录键盘……其实就是安装了一个钩子，不像记录信息，倒像干扰用户操作

其中插有https://www.autohotkey.com/

swizzer

18603867890 发表于 2018-8-7 17:43
一般情况下我们把这当做后门，用途为██，干扰用户操作是怎么一说？而且这种病毒追求的是隐藏性，而不应 ...

然而在我这里，钩子直接导致键盘失效了。。。

左手

2018/8/7 星期二 21:37:04    修改注册表值 风险提示:敏感    阻止
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
值: 0x00000002(2)
规则: [应用程序]* -> [注册表]HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced; *Hid*

2018/8/7 星期二 21:37:13    安装全局消息钩子 风险提示:高风险    阻止
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\rundll32.exe
目标: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\rundll32.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序]?:\*\* -> [钩子模块].\*

2018/8/7 星期二 21:37:21    修改注册表值 风险提示:敏感    阻止
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden
值: 0x00000000(0)
规则: [应用程序]* -> [注册表]HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced; *Hid*

2018/8/7 星期二 21:37:29    修改注册表值 风险提示:敏感    阻止并结束进程
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusOverride
值: 0x00000001(1)
规则: [注册表组]r010_行为防御 -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center*

2018/8/7 星期二 21:37:29    安装全局消息钩子 风险提示:高风险    阻止
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\rundll32.exe
目标: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\rundll32.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\rundll32.exe -> [钩子模块]c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\rundll32.exe

2018/8/7 星期二 21:37:29    修改文件 风险提示:敏感    允许
进程: d:\program files\随音8月版\plugins\download\minithunderplatform.exe
目标: C:\Users\Public\Thunder Network\Mini_downloadlib\ODAwMDAwNDk=\Version_3_2_1_46\Profiles\stat.dat
规则: [文件组]《写入》f145_属性目录(public) -> [文件]c:\users\public\*

2018/8/7 星期二 21:37:45    安装全局消息钩子 风险提示:高风险    阻止
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\messagecenter.exe
目标: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\messagecenter.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序]?:\*\* -> [钩子模块].\*

2018/8/7 星期二 21:37:45    设置文件夹隐藏属性 风险提示:敏感    阻止
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\messagecenter.exe
目标: C:\Users\Administrator\Desktop\捕獲到的惡意程式 資料夾病毒\MessageCenter
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]?:\*《任意文件夹》 -> [文件]?:\*

2018/8/7 星期二 21:37:57    创建文件 风险提示:低风险    允许
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\messagecenter.exe
目标: C:\Users\Administrator\AppData\Roaming\Microsoft\Office\rundll32.exe
规则: [应用程序]?:\*\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\microsoft*

2018/8/7 星期二 21:38:05    修改注册表值 风险提示:敏感    阻止
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\messagecenter.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Microsoft Windows
值: C:\Users\Administrator\AppData\Roaming\Microsoft\Office\rundll32.exe
规则: [应用程序组]a082_《行为防御》_自动运行 -> [应用程序]c:\users\*\* -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

2018/8/7 星期二 21:38:17    修改注册表值 风险提示:敏感    阻止
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\messagecenter.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Msversion
值: 0x000003fd(1021)
规则: [注册表组]r666_系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\*

2018/8/7 星期二 21:38:18    创建新进程 风险提示:未知    允许
进程: c:\users\administrator\desktop\捕獲到的惡意程式 資料夾病毒\messagecenter.exe
目标: c:\users\administrator\appdata\roaming\microsoft\office\rundll32.exe
命令行: C:\Users\Administrator\AppData\Roaming\Microsoft\Office\rundll32.exe
规则: [应用程序]??\?* -> [子应用程序]c:\users\*\appdata\roaming\*

2018/8/7 星期二 21:38:26    安装全局消息钩子 风险提示:高风险    阻止
进程: c:\users\administrator\appdata\roaming\microsoft\office\rundll32.exe
目标: c:\users\administrator\appdata\roaming\microsoft\office\rundll32.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序]?:\*\* -> [钩子模块].\*

2018/8/7 星期二 21:38:33    修改注册表值 风险提示:敏感    阻止
进程: c:\users\administrator\appdata\roaming\microsoft\office\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden
值: 0x00000000(0)
规则: [应用程序]* -> [注册表]HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced; *Hid*

2018/8/7 星期二 21:38:33    修改文件 风险提示:敏感    允许
进程: d:\program files\随音8月版\plugins\download\minithunderplatform.exe
目标: C:\Users\Public\Thunder Network\Mini_downloadlib\ODAwMDAwNDk=\Version_3_2_1_46\Profiles\stat.dat
规则: [文件组]《写入》f145_属性目录(public) -> [文件]c:\users\public\*

2018/8/7 星期二 21:38:33    安装全局消息钩子 风险提示:高风险    阻止
进程: c:\users\administrator\appdata\roaming\microsoft\office\rundll32.exe
目标: c:\users\administrator\appdata\roaming\microsoft\office\rundll32.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]c:\users\administrator\appdata\roaming\microsoft\office\rundll32.exe -> [钩子模块]c:\users\administrator\appdata\roaming\microsoft\office\rundll32.exe

wk2534425660

swizzer 发表于 2018-8-7 20:43
然而在我这里，钩子直接导致键盘失效了。。。

那就不清楚了，看看那个网站的介绍吧。

3245076553

www-tekeze 发表于 2018-8-5 16:20
又来晚了，火绒、智量都有。。

试试Avast和迈克菲的反应

www-tekeze

3245076553 发表于 2018-8-8 10:04
试试Avast和迈克菲的反应

多年前折腾过国外杀软，现在看得很淡，咱还是喜欢自家的方块字。。