锁机1X，请测试

显示全部楼层 · 发表于 2018-10-12 15:11:30

wowocock 发表于 2018-10-12 14:56
https://bbs.kafan.cn/forum.php?mod=viewthread&tid=2117316&page=5#lastpost
进WINPE运行 fixransommbr ...

补充下，木马还会在开机启动里生成一个回写MBR的启动项，所以需要在WINPE下用急救箱扫下系统，同时由于作者菜鸟水准导致，用VS2010生成的程序引用了导入库MSVCR100.dll
，导致在没有2010运行库的系统上根本跑不起来。
[CAutoRun]Repair By ARR_V
[50] C:\Windows\SysWOW64\svchosn.exe
MD5:5b9ceec7de857bb249ac0d0a10bcde53
径:SOFTWARE\Wow6432node\Microsoft\Windows\CurrentVersion\Run
名:Writing to the Registry Example
值:C:\Windows\system32\svchosn.exe
类别:开机启动项处理:移除启动项结果:1

显示全部楼层 · 发表于 2018-10-12 15:43:17

本帖最后由捏鲍鱼于 2018-10-12 15:47 编辑

添加开机写入扇页修改当前账户密码添加账户密码重启电脑

显示全部楼层 · 发表于 2018-10-12 18:16:15

显示全部楼层 · 发表于 2018-10-12 20:53:37

火绒已拉黑2个，智量只报那个dll？

这次动作有点慢啊。。。

显示全部楼层 · 发表于 2018-10-12 21:21:43

沙盘里试了下，正象12楼说的，动作实在太多，懒得多上图了。。。

显示全部楼层 · 发表于 2018-10-13 09:16:47

你用360杀毒肯定能杀出来

[病毒样本] 锁机1X，请测试

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源