单位又发现一个感染型病毒，大家给个行为分析！

显示全部楼层 · 发表于 2018-8-31 11:49:28

这类病毒真是有如滔滔江水，延绵不绝

显示全部楼层 · 发表于 2018-8-31 11:52:30

卡巴斯基网页报双击报下载文件报扫描报

显示全部楼层 · 发表于 2018-8-31 11:53:19

卡巴网页拦截

显示全部楼层 · 发表于 2018-8-31 12:07:28

BD2019：还没下载就报毒了。是你单位用的杀软不合格吧

Feature:Online Threat Prevention
We blocked this dangerous page for your protection:https://att.kafan.cn/forum.php?mo ... zh8MjEzMTIwNg%3D%3DThreat name: Trojan.AutorunINF.GenDangerous pages attempt to install software that can harm the device, gather personal information or operate without your consent.

显示全部楼层 · 发表于 2018-8-31 12:16:56

SEP：W32.Sality.AE

显示全部楼层 · 发表于 2018-8-31 13:03:58

360
木马文件：f.rar
风险提示：木马（virus.ini.unsafe.1）

显示全部楼层 · 发表于 2018-8-31 13:10:29

火绒、智量均杀。。。是U盘病毒吧，autorun.ini 正常是感染到根目录下，那火绒还会杀了它。

显示全部楼层 · 发表于 2018-8-31 13:16:34

ESET Win32/Sality.NBA

显示全部楼层 · 发表于 2018-8-31 14:28:03

大体行为还是比较清楚，果然是单位里流行的。。。

1.通过局域网来传播，虽然也会联公网。
2.会加载驱动、修改系统配置文件system.ini。
3. 将自身改名并隐藏到每个盘根目录下，同时创建autorun.ini。
4.篡改并注入explorer，运行完成如果再次点击样本，打开的就成了资源管理器。
5. 还会查看阿里旺旺、遍历My Documents，查找QQ的用户文件夹等等。。。

因为火绒主防也会拦截 (第二个截图)，故只得加入信任，但之后动作就看不完全了，某些是在沙盘里看的。

显示全部楼层 · 发表于 2018-8-31 18:45:04

这报毒名··· ··· virus.ini.unsafe.1

[病毒样本] 单位又发现一个感染型病毒，大家给个行为分析！

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源