可能发错了样本，这个文件我不确定了？

显示全部楼层 · 发表于 2018-10-9 15:18:43

zqwy520 发表于 2018-10-9 14:41
是的，它联网，而设备根本没有设计网络功能，根本不需要升级版本，或者下载数据，因为设备都带硬件加密狗 ...

可以到火绒官网下个安装包，安装后开启“联网控制”功能，或者装个Simplewall，看一下到底是谁发起的联网动作，把真凶找出来。。。

显示全部楼层 · 发表于 2018-10-9 15:20:53

www-tekeze 发表于 2018-10-9 15:08
只是锁了快捷键登录，又不是键盘记录器，但VT上一片红啊，不少还报的Rootkit，汗。。

这就是人云亦云的结果，所有的东西都是你完全在指令级别上分析清楚了，才知道是否真的有问题。比如这个驱动，如果不仔细分析的话，还真会认为是KEYLOG一类的。

显示全部楼层 · 发表于 2018-10-9 15:22:42

zqwy520 发表于 2018-10-9 15:16
快捷键登录啥意思？这个程序用于视频制作，一台设备25万，主要是硬件卡和软件贵，不需要登录啊？

25楼大佬说了啊，Ctrl+ALT+DEL 同时按下不就是很常用的快捷键？也许软件打开后厂家不想更换登录用户，同样也是出于安全考虑。

显示全部楼层 · 发表于 2018-10-9 15:23:53

本帖最后由 www-tekeze 于 2018-10-9 15:26 编辑

wowocock 发表于 2018-10-9 15:20
这就是人云亦云的结果，所有的东西都是你完全在指令级别上分析清楚了，才知道是否真的有问题。比如这个驱 ...

明白，自动机，还喜欢玩借鉴。。

显示全部楼层 · 发表于 2018-10-9 15:24:03

zqwy520 发表于 2018-10-9 15:16
快捷键登录啥意思？这个程序用于视频制作，一台设备25万，主要是硬件卡和软件贵，不需要登录啊？

驱动加载后，你同时按下ctrl,alt,del则没任何作用，否则可能会呼出任务管理器或切换到登录界面。

显示全部楼层 · 发表于 2018-10-9 17:32:28

wowocock 发表于 2018-10-9 15:24
驱动加载后，你同时按下ctrl,alt,del则没任何作用，否则可能会呼出任务管理器或切换到登录界面。

真的，我把程序放回去了，真的是不能启用ctrl,alt,del是放止无操作的。

显示全部楼层 · 发表于 2018-10-9 17:47:43

wowocock 发表于 2018-10-9 15:24
驱动加载后，你同时按下ctrl,alt,del则没任何作用，否则可能会呼出任务管理器或切换到登录界面。

我退出了卡巴，把这个程序放回bin目录下，启动主程序，它加在system进程里，killswitch查找如下
进程 pid 类型句柄或dll
system 4 DLL C\xxxx\Bin\keyboardClass0.sys
主程序运行没有联网记录在kiilswitch里
我准备安装comodo防火墙复现一下当年的拦截。

显示全部楼层 · 发表于 2018-10-9 17:51:26

zqwy520 发表于 2018-10-9 17:47
我退出了卡巴，把这个程序放回bin目录下，启动主程序，它加在system进程里，killswitch查找如下
进程 ...

没法复现了，comodo已入库

显示全部楼层 · 发表于 2018-10-9 17:53:03

tg123321 发表于 2018-10-9 17:51
没法复现了，comodo已入库

啊！Comodo纯墙也不行啊！

显示全部楼层 · 发表于 2018-10-9 17:54:05

zqwy520 发表于 2018-10-9 17:53
啊！Comodo纯墙也不行啊！

你得关联网云查询

[病毒样本] 可能发错了样本，这个文件我不确定了？