一个做U盘启动的小工具

幽冥の龙

https://pan.baidu.com/s/1j-0isI1h2oRDQ2MgrP2dBg

火绒智量都不报的

https://s.threatbook.cn/report/f ... p1_enx64_office2013
微步云沙箱  0检出

但是却报了个高危行为，吓的我不敢用了。。

pal家族

微步上检测引擎不好用
vt更靠谱
微步行为看了下没啥大问题。应该就是个绿色便携版的软件

幽冥の龙

pal家族 发表于 2018-11-19 20:32
微步上检测引擎不好用
vt更靠谱
微步行为看了下没啥大问题。应该就是个绿色便携版的软件

好的，谢谢，那这个破坏文件什么的，其实只是做U盘启动的 必要行为么  0.0

pal家族

幽冥の龙 发表于 2018-11-19 20:44
好的，谢谢，那这个破坏文件什么的，其实只是做U盘启动的 必要行为么  0.0

你看看具体的行为参数
他其实上都是在对自己释放的文件进行操作。其实就是一个便携版打开的软件的过程，很多便携版都是把完整额程序打包到一个文件，启动时把各种文件释放到一个目录再运行。

1. 018-11-19 20:23:43
   
2. 
   
3. NtCreateFile
   
4. 
   
5. create_disposition :5
   
6. 
   
7. file_handle :0x00000210
   
8. 
   
9. filepath :C:\Users\vbccsb\AppData\Local\Temp\WinToUSB_v4.0_Enterprise_x86¨Mx64_Portable\WinToUSB Enterprise Portable\App\AppInfo\appicon_16.png
   
10. 
    
11. desired_access :0x40100080
    
12. 
    
13. file_attributes :0
    
14. 
    
15. filepath_r :\??\C:\Users\vbccsb\AppData\Local\Temp\WinToUSB_v4.0_Enterprise_x86¨Mx64_Portable\WinToUSB Enterprise Portable\App\AppInfo\appicon_16.png
    
16. 
    
17. create_options :96
    
18. 
    
19. status_info :2
    
20. 
    
21. share_access :1

复制代码

幽冥の龙

pal家族 发表于 2018-11-19 20:47
你看看具体的行为参数
他其实上都是在对自己释放的文件进行操作。其实就是一个便携版打开的软件的过程， ...

懂了，谢谢

www-tekeze

幽冥の龙 发表于 2018-11-19 20:44
好的，谢谢，那这个破坏文件什么的，其实只是做U盘启动的 必要行为么  0.0

也就是大家俗称的单文件版，在TEMP下释放了161个文件，不奇怪，单文件版就这样。。

小Q机器人

卡巴斯基右键扫描安全

nyrepression

链接已失效