可能发错了样本，这个文件我不确定了？

显示全部楼层 · 发表于 2018-10-8 14:37:39

本帖最后由 zqwy520 于 2018-10-9 17:46 编辑

这个是2008年病毒,白加黑,加驱.sys,非dll,主程序一旦运行, 就会加载,外链某个 ip.以前comodo防火墙启用hips疯狂模式发现的!病毒在cab包里面,很多杀毒软件对含病毒cab包miss,但是安装时.卡巴斯基文件监控报rootkit,直接杀了.大小 7k,主程序就不发了.给厂家留点面子,厂家安装包里面带病毒,一定不是厂家做的,有人故意在源头下毒!更正一下错误，2008厂家程序不带数字签名，后来产品才带的，可能还有其他的程序和它搭配，主程序和一大堆dll就不发了，因为详细信息里有厂家名字。我退出了卡巴，把这个程序放回bin目录下，启动主程序，它加在system进程里，killswitch查找如下
进程 pid 类型句柄或dll
system 4 DLL C\xxxx\Bin\keyboardClass0.sys
主程序运行没有联网记录在kiilswitch里
我准备在安装上comodo 防火墙在试一试，复现一下当年的拦截。

显示全部楼层 · 发表于 2018-10-8 15:36:30

版主请转区到病毒样本@飘落的泪

显示全部楼层 · 发表于 2018-10-8 15:38:59

191196846 发表于 2018-10-8 15:36
版主请转区到病毒样本@飘落的泪

哎呀!发错了.能改吗?

显示全部楼层 · 发表于 2018-10-8 15:40:12

zqwy520 发表于 2018-10-8 15:38
哎呀!发错了.能改吗?

等版主吧

显示全部楼层 · 发表于 2018-10-8 16:58:43

KAV UDS:Rootkit.Win32.Agent.cztz

显示全部楼层 · 发表于 2018-10-8 17:02:54

显示全部楼层 · 发表于 2018-10-8 17:08:29

Access denied
The requested URL cannot be provided
Object URL:
https://att.kafan.cn/forum.php?mod=attachment&aid=MzAxMTUxMnxhOWIyNWViZHwxNTM4OTg5Njg0fDEwNTg1Mjd8MjEzMzk2NQ%3D%3D
Reason: the object is infected by UDS:Rootkit.Win32.Agent.cztz
Message generated on: 2018/10/8 17:08:18

复制代码

显示全部楼层 · 发表于 2018-10-8 17:15:43

WD MISS

显示全部楼层 · 发表于 2018-10-8 17:33:18

天道酬善发表于 2018-10-8 17:15
WD MISS

国内腾讯报!估计BD引擎

显示全部楼层 · 发表于 2018-10-8 17:41:07

llcy 发表于 2018-10-8 17:02

Symantec发论坛之前没报,跟进好快

[病毒样本] 可能发错了样本，这个文件我不确定了？

本帖子中包含更多资源

本帖子中包含更多资源