rootkit_filesafe_auto

显示全部楼层 · 发表于 2019-4-25 12:53:41

本帖最后由落华无痕于 2019-4-25 17:16 编辑

样本（infected）：https://www.lanzous.com/i3wkadi

欢迎双击。

显示全部楼层 · 发表于 2019-4-25 13:00:19

Quick Heal 双击主防杀

用于-Quick Heal高级基于行为的检测系统的报告
2019年4月25日，星期四，时间12:57:00
Quick Heal版本-18.00
病毒数据库-2019年4月24日

跟踪恶意活动
程序：c:\users\**avier\d*ktop\**\u auto.exe
风险：媒体

行为：
程序filesafe_auto.exe试图修改Windows系统目录。
程序filesafe_auto.exe试图删除自身。
采取的操作：隔离

已创建/修改的注册表项：
\REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\BAM\STATE\USERSETTINGS\S-1-5-21-738152125-3384377237-3272956234-1001:\Device\HarddiskVolume10\Windows\SysWOW64\cmd.exe (modified: old_value= 00000053 000000be 00000001 000000de 0000008f 000000f9 000000d4 000...
\REGISTRY\MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\NOTIFICATIONS\DATA:418A073AA3BC1C75 (modified: old_value= 000000f1 00000009 00000000 00000000 00000000 00000000 00000000 00000000 00000004 00000000 00000004 00000000 00000001 00000000 00000023...
\REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\ZPF35TJ8Y9\INSTANCES:DefaultInstance (modified: old_value=, new_value =灚㍆琵㡊㥙䤠獮慴据)
\REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\ZPF35TJ8Y9\INSTANCES\ZPF35TJ8Y9 INSTANCE:Altitude (modified: old_value=, new_value =㜳〰〳)
\REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\ZPF35TJ8Y9\INSTANCES\ZPF35TJ8Y9 INSTANCE:Flags (modified: old_value=, new_value =0x0 (0))

显示全部楼层 · 发表于 2019-4-25 13:06:06

Avast扫描Miss all

显示全部楼层 · 发表于 2019-4-25 13:08:12

运行并重启后，常见rootkit专杀无法检测出。其中mcafee的stinger，确定hrkill.exe数字签名完好。

显示全部楼层 · 发表于 2019-4-25 13:12:01

卡巴启发清空,我想这个毒应该厉害吧,还带驱动

显示全部楼层 · 发表于 2019-4-25 14:07:55

McAfee 扫描 Miss

显示全部楼层 · 发表于 2019-4-25 14:14:25

WiseVector

显示全部楼层 · 发表于 2019-4-25 15:13:22

Gollum 发表于 2019-4-25 14:14
WiseVector

两个都是入库杀，你上报过吗？

火绒miss all，有空双击。。。

显示全部楼层 · 发表于 2019-4-25 15:21:22

安天报exe为灰色。。。管家无BD，清空！

显示全部楼层 · 发表于 2019-4-25 15:21:22

www-tekeze 发表于 2019-4-25 15:13
两个都是入库杀，你上报过吗？火绒miss all，有空双击。。。

我没上报

[病毒样本] rootkit_filesafe_auto

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块