单位又发现一个感染型病毒，大家给个行为分析！

www-tekeze

飞碟1234 发表于 2018-8-31 18:45
这报毒名··· ··· virus.ini.unsafe.1

楼主说了是感染型，火绒报的也是蠕虫病毒。。。
另外360TS给的病毒文件是“att_kafan_cn”，怎么卡饭也进去了？  

飞碟1234

www-tekeze 发表于 2018-8-31 21:29
楼主说了是感染型，火绒报的也是蠕虫病毒。。。
另外360TS给的病毒文件是“att_kafan_cn”，怎么卡饭也 ...

因为下载地址来自卡饭的服务器算是报个样本来源

www-tekeze

飞碟1234 发表于 2018-8-31 21:45
因为下载地址来自卡饭的服务器算是报个样本来源

能给出样本来源也不错，但用词是“病毒文件”，也许我的语文是数学老师教的。。

飞碟1234

www-tekeze 发表于 2018-8-31 21:53
能给出样本来源也不错，但用词是“病毒文件”，也许我的语文是数学老师教的。。

360TS估计是做汉语翻译的时候没审核

www-tekeze

飞碟1234 发表于 2018-8-31 22:00
360TS估计是做汉语翻译的时候没审核

还真有可能，得看下英文版的。。。

liumtz

是时候公布此病毒的大名了：Sality~

dreams521

W32/Sality.AT Windows

心心相印

FSSA kill all

左手

1. 2018/9/7 15:10:54    修改注册表值 风险提示:敏感    阻止
   
2. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
   
3. 目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
   
4. 值: 0x00000002(2)
   
5. 规则: [应用程序]* -> [注册表]HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced; *Hid*
   
6. 
   
7. 2018/9/7 15:10:54    访问COM接口 风险提示:低风险    阻止
   
8. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
   
9. 目标: {9BA05972-F6A8-11CF-A442-00A0C90A8F39}
   
10. 规则: [应用程序]* -> [COM接口]{9BA05972-F6A8-11CF-A442-00A0C90A8F39}
    
11. 
    
12. 2018/9/7 15:10:58    修改注册表值 风险提示:敏感    阻止
    
13. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
14. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusOverride
    
15. 值: 0x00000001(1)
    
16. 规则: [注册表组]r010_行为防御★★★ -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center*
    
17. 
    
18. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
19. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
20. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify
    
21. 值: 0x00000001(1)
    
22. 规则: [注册表组]r010_行为防御★★★ -> [注册表]HKEY_LOCAL_MACHINE\Software\Microsoft\Security center*
    
23. 
    
24. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
25. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
26. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify
    
27. 值: 0x00000001(1)
    
28. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
29. 
    
30. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
31. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
32. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallOverride
    
33. 值: 0x00000001(1)
    
34. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
35. 
    
36. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
37. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
38. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify
    
39. 值: 0x00000001(1)
    
40. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
41. 
    
42. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
43. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
44. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UacDisableNotify
    
45. 值: 0x00000001(1)
    
46. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
47. 
    
48. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
49. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
50. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc\AntiVirusOverride
    
51. 值: 0x00000001(1)
    
52. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
53. 
    
54. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
55. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
56. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc\AntiVirusDisableNotify
    
57. 值: 0x00000001(1)
    
58. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
59. 
    
60. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
61. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
62. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc\FirewallDisableNotify
    
63. 值: 0x00000001(1)
    
64. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
65. 
    
66. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
67. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
68. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc\FirewallOverride
    
69. 值: 0x00000001(1)
    
70. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
71. 
    
72. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
73. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
74. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc\UpdatesDisableNotify
    
75. 值: 0x00000001(1)
    
76. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
77. 
    
78. 2018/9/7 15:11:02    修改注册表值 风险提示:敏感    阻止
    
79. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
80. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc\UacDisableNotify
    
81. 值: 0x00000001(1)
    
82. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\*
    
83. 
    
84. 2018/9/7 15:11:05    修改注册表值 风险提示:敏感    阻止
    
85. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
86. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA
    
87. 值: 0x00000000(0)
    
88. 规则: [注册表组]r015_注意 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*
    
89. 
    
90. 2018/9/7 15:11:05    修改注册表值 风险提示:敏感    阻止
    
91. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
92. 目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
    
93. 值: 0x00000000(0)
    
94. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单
    
95. 
    
96. 2018/9/7 15:11:05    修改注册表值 风险提示:敏感    阻止
    
97. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
    
98. 目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DoNotAllowExceptions
    
99. 值: 0x00000000(0)
    
100. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单
     
101. 
     
102. 2018/9/7 15:11:05    修改注册表值 风险提示:敏感    阻止
     
103. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
104. 目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DisableNotifications
     
105. 值: 0x00000001(1)
     
106. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单
     
107. 
     
108. 2018/9/7 15:11:10    创建文件 风险提示:低风险    允许
     
109. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
110. 目标: C:\Windows\12070e1
     
111. 规则: [文件组]{Ⅲ安全级别:中}f1003_№②启用《写入windows特殊目录文件》 -> [文件]c:\windows\*
     
112. 
     
113. 2018/9/7 15:11:10    修改文件 风险提示:敏感    阻止
     
114. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
115. 目标: C:\Windows\system.ini
     
116. 规则: [应用程序]?* -> [文件]?:\windows; system.ini
     
117. 
     
118. 2018/9/7 15:11:16    修改其他进程的内存 风险提示:高风险    阻止
     
119. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
120. 目标: c:\windows\system32\dwm.exe
     
121. 规则: [应用程序]* -> [目标应用程序]c:\windows\*
     
122. 
     
123. 2018/9/7 15:11:16    修改其他进程的内存 风险提示:高风险    阻止
     
124. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
125. 目标: c:\windows\system32\dwm.exe
     
126. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [目标应用程序]c:\windows\system32\dwm.exe
     
127. 
     
128. 2018/9/7 15:11:16    修改其他进程的内存 风险提示:高风险    阻止
     
129. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
130. 目标: c:\windows\explorer.exe
     
131. 规则: [应用程序]* -> [目标应用程序]c:\windows\explorer.exe
     
132. 
     
133. 2018/9/7 15:11:21    修改其他进程的内存 风险提示:高风险    阻止
     
134. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
135. 目标: d:\program files\电脑提速大师.3.9.0\speedupyourpc.exe
     
136. 规则: [应用程序]* -> [目标应用程序]*
     
137. 
     
138. 2018/9/7 15:11:21    读文件夹 风险提示:低风险    阻止
     
139. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
140. 目标: C:\7
     
141. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《终止》f022_高优先禁读 -> [文件]?:\; ?
     
142. 
     
143. 2018/9/7 15:11:21    修改其他进程的内存 风险提示:高风险    阻止
     
144. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
145. 目标: d:\program files\电脑提速大师.3.9.0\speedupyourpc.exe
     
146. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [目标应用程序]*
     
147. 
     
148. 2018/9/7 15:11:21    修改其他进程的内存 风险提示:高风险    阻止
     
149. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
150. 目标: d:\program files\360safe\utils\360healthelf.exe
     
151. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]d:\360安全浏览器下载\f\f\wfhmex.exe -> [目标应用程序]*
     
152. 
     
153. 2018/9/7 15:11:26    修改其他进程的内存 风险提示:高风险    阻止
     
154. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
155. 目标: d:\program files\电脑速度卫士2.398\电脑速度卫士.exe
     
156. 规则: [应用程序]?* -> [目标应用程序]a010_【完全受信任组】安全软件_不受md控制>f005 -> [应用程序]d:\program files\电脑速度卫士2.398\电脑速度卫士.exe
     
157. 
     
158. 2018/9/7 15:11:26    读文件夹 风险提示:低风险    阻止
     
159. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
160. 目标: C:\Boot\cs-CZ
     
161. 规则: [文件组]《保护》f228_系统引导程序 -> [文件]c:\boot
     
162. 
     
163. 2018/9/7 15:11:26    读文件夹 风险提示:低风险    阻止
     
164. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
165. 目标: C:\Boot\da-DK
     
166. 规则: [文件组]《保护》f228_系统引导程序 -> [文件]c:\boot
     
167. 
     
168. 2018/9/7 15:11:26    读文件夹 风险提示:低风险    阻止
     
169. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
170. 目标: D:\360Downloads\Software\hotfix
     
171. 规则: [应用程序]?:\*\*\*\* -> [文件组]《保护》f998_受保护的用户重要文件或目录 -> [文件]*\software\*
     
172. 
     
173. 2018/9/7 15:11:30    修改其他进程的内存 风险提示:高风险    阻止并结束进程
     
174. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
175. 目标: d:\program files\电脑速度卫士2.398\电脑速度卫士.exe
     
176. 规则: [应用程序]?* -> [目标应用程序]a010_【完全受信任组】安全软件_不受md控制>f005 -> [应用程序]d:\program files\电脑速度卫士2.398\电脑速度卫士.exe
     
177. 
     
178. 2018/9/7 15:11:30    读文件夹 风险提示:低风险    阻止
     
179. 进程: d:\360安全浏览器下载\f\f\wfhmex.exe
     
180. 目标: C:\Boot\de-DE
     
181. 规则: [文件组]《保护》f228_系统引导程序 -> [文件]c:\boot
     
182. 
     

复制代码

心心相印

FSSA 清空