Bootkit.Pitou_2 (19.04.08)

yjwfdc

win7 64位实机，装了电脑速度卫士 火绒5.0.0.93 20190409版本。


火绒最新版 5.0.0.93 无反应。

电脑速度卫士 保护主引导记录 成功防御，运行123.exe等到它自动退出后，再运行321.exe,等到它自动退出后，重启，检查mbr是正常的。

关闭电脑速度卫士的保护主引导记录后运行 123.exe
火绒5.0.0.93 无反应。
运行后过一会，电脑自动重启。
重启后检查mbr被改，




用电脑速度卫士修复mbr后，重启，mbr正常。



中毒后用电脑速度卫士备份的mbr

ikochina

双击全杀，但没报毒类型

wowocock

yjwfdc 发表于 2019-4-9 12:46
win7 64位实机，装了电脑速度卫士 火绒5.0.0.93 20190409版本。

不同于早期版本，现在版本的貌似被作者改的只在WIN10下起作用。在WIN10 64下测试，他有磁盘微端口钩子保护，类似于很多磁盘还原软件，你不用驱动是不能恢复MBR的。

温馨小屋

Norton 入库了，断网测主防
文件名: 321.exe
威胁名称: SONAR.Heuristic.170完整路径: 不可用

____________________________

____________________________


在电脑上 
2019/4/9 ( 22:58:21 )

上次使用时间 
2019/4/9 ( 22:58:21 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


321.exe 威胁名称: SONAR.Heuristic.170
定位


少量用户信任的文件
Norton 社区中有不到 50 名用户 使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
321.exe

____________________________

文件操作

事件: 正在运行进程: C:\Users\zry\Desktop\ 321.exe 已终止
受感染文件: c:\Users\zry\Desktop\ 321.exe 已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\zry\desktop\321.exe, PID:3688) 未采取操作
事件: 进程启动: c:\users\zry\desktop\ 321.exe, PID:2684 (执行者 c:\users\zry\desktop\321.exe, PID:3688) 未采取操作
事件: 进程启动: c:\users\zry\desktop\ 321.exe, PID:3688 (执行者 c:\users\zry\desktop\321.exe, PID:3688) 未采取操作
____________________________

可疑操作

(执行者 c:\users\zry\desktop\321.exe, PID:3688) 未采取操作
____________________________


文件指纹 - SHA:
828c703892fbe708e270a4fc191b7f6ed72a66b80a93a9532a5f7c87b5d51042
文件指纹 - MD5:
724a43b429f149201981d31a9f57935d