rootkit_filesafe_auto

jdsh

2019/4/25 18:01:51    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\users\jdsh\downloads\filesafe_auto.exe
命令行: "C:\Users\jdsh\Downloads\FileSafe_auto.exe"
规则: [应用程序]*

2019/4/25 18:01:52    创建文件    允许
进程: c:\users\jdsh\downloads\filesafe_auto.exe
目标: C:\windows\system32\drivers\OoVyOqFjY0.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2019/4/25 18:01:53    安装驱动程序或服务    阻止
进程: c:\users\jdsh\downloads\filesafe_auto.exe
目标: system32\drivers\OoVyOqFjY0.sys
规则: [应用程序]*

2019/4/25 18:01:55    创建新进程    允许
进程: c:\users\jdsh\downloads\filesafe_auto.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\Windows\system32\cmd.exe /c ERASE /F C:\Users\jdsh\DOWNLO~1\FILESA~1.EXE
规则: [应用程序]*

2019/4/25 18:01:59    删除文件    阻止并结束进程
进程: c:\windows\system32\cmd.exe
目标: C:\Users\jdsh\Downloads\FileSafe_auto.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

fzshot

Sophos Home Premium

杀软病综合医院

avast没扫出，卡巴扫出 2个文件

vm001

wowocock 发表于 2019-4-25 17:30
木马自己的BUG吧，在急救箱扫描下基本无法存活。

在1903系统上染毒后，急救箱也处理不了，开不了强力模式。。

vm001

www-tekeze 发表于 2019-4-25 16:36
重启用火绒专杀扫描没发现问题，不会自动加驱需要手动？ 但安装成功启动失败，不玩了。。

不是需要手动，他加驱的动作火绒监视不到

温馨小屋

Norton
文件名: XSUahWMITY.sys   威胁名称: Trojan.Gen.MBT
文件名: FileSafe_auto.exe   威胁名称: Trojan.Gen.MBT
断网双击miss

vm001

看来360急救箱PE版无疑是家庭必备良药啊

www-tekeze

vm001 发表于 2019-4-25 20:29
不是需要手动，他加驱的动作火绒监视不到

嗯，他在19楼解释过了。。。

不过你看14楼我的第一个截图，还是创建了那个sys，只是没注册，目录也变成sysWOW64 。

hup

www-tekeze 发表于 2019-4-25 16:28
双击，就只看到创建系统目录和删除自身，没见加驱啊。。   重启试试。。。

5.0好像把驱动加载防护去掉了

www-tekeze

hup 发表于 2019-4-26 08:34
5.0好像把驱动加载防护去掉了

刚开始我也以为去掉了，在火绒论坛发了个贴，还发了点脾气。。。

挪到注册表防护的"服务/驱动配置项"，但默认还是不启用，得自己勾选。

http://bbs.huorong.cn/thread-55066-1-1.html