TROJAN.WIN.EXE

www-tekeze

智量Scan Miss，实机双击，16位程序，火绒没弹窗、智量主防没反应，MS-DOS下的样本有意思么。。

3245076553

www-tekeze 发表于 2019-6-9 16:17
智量Scan Miss，实机双击，16位程序，火绒没弹窗、智量主防没反应，MS-DOS下的样本有意思么。。

说明书里写着XP到Win10都兼容

左手

1. 2019/6/9 星期日 19:32:11    修改注册表值 风险提示:木马    阻止
   
2. 进程: c:\users\administrator\desktop\trojan.win.exe\win.exe
   
3. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\wextract_cleanup0
   
4. 值: rundll32.exe C:\windows\system32\advpack.dll,DelNodeRunDLL32 "C:\Users\ADMINI~1\AppData\Local\Temp\IXP000.TMP"
   
5. 规则: [注册表组]r010_行为防御★★★ -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\*
   
6. 
   
7. 2019/6/9 星期日 19:32:13    创建新进程 风险提示:未知    允许
   
8. 进程: c:\users\administrator\desktop\trojan.win.exe\win.exe
   
9. 目标: c:\windows\system32\cmd.exe
   
10. 命令行: C:\windows\system32\cmd.exe /c C:\Users\ADMINI~1\AppData\Local\Temp\IXP000.TMP\FUCK.CMD
    
11. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
12. 
    
13. 2019/6/9 星期日 19:32:29    创建新进程 风险提示:未知    阻止
    
14. 进程: c:\windows\system32\cmd.exe
    
15. 目标: c:\windows\system32\ntvdm.exe
    
16. 命令行: "C:\windows\system32\ntvdm.exe" -i2  
    
17. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]c:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\ntvdm.exe
    
18. 
    

复制代码

www-tekeze

3245076553 发表于 2019-6-9 18:49
说明书里写着XP到Win10都兼容

我这里和8楼情况相同。。   有空Win7里试下，但16位程序也运行不了！