楼主: kaba666
收起左侧

[病毒样本] exe一枚

[复制链接]
jdsh
发表于 2019-6-29 19:28:19 | 显示全部楼层
2019/6/29 19:26:07    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\users\jdsh\downloads\1.exe
命令行: "C:\Users\jdsh\Downloads\1.exe"
规则: [应用程序]*

2019/6/29 19:26:10    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\6243552
规则: [文件]*

2019/6/29 19:26:15    删除文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\6243552
规则: [文件]*

2019/6/29 19:26:17    修改文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2019/6/29 19:26:22    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\304F4345.tmp
规则: [文件]*

2019/6/29 19:26:24    修改文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\304F4345.tmp
规则: [文件]*

2019/6/29 19:26:25    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\32576F54.tmp
规则: [文件]*

2019/6/29 19:26:26    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\3730314C.tmp
规则: [文件]*

2019/6/29 19:26:27    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\33335654.tmp
规则: [文件]*

2019/6/29 19:26:28    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\30383630.tmp
规则: [文件]*

2019/6/29 19:26:29    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\6D354B6D.tmp
规则: [文件]*

2019/6/29 19:26:37    创建新进程    允许
进程: c:\windows\system32\svchost.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\Windows\System32\cmd.exe"   /c  "C:\Users\jdsh\Downloads\1.exe"
规则: [应用程序]*

2019/6/29 19:26:54    向其他进程复制句柄    阻止
进程: c:\windows\system32\svchost.exe
目标: c:\users\jdsh\downloads\1.exe
句柄: (Process) c:\windows\system32\cmd.exe
规则: [应用程序]c:\windows\system32\svchost.exe


Jerry.Lin
发表于 2019-6-29 23:26:33 | 显示全部楼层
ESET
Win32/GenKryptik.DLYY
www-tekeze
发表于 2019-6-30 08:57:44 | 显示全部楼层
www-tekeze 发表于 2019-6-29 16:26
晚上再说吧。。。呵呵,就算Scan miss,能过主防不。。

双击,什么行为也看不到,火绒没弹窗、智量主防没反应。。。唉,随手任务管理器里结束进程完事。。




a233
发表于 2019-6-30 09:00:53 | 显示全部楼层
www-tekeze 发表于 2019-6-30 08:57
双击,什么行为也看不到,火绒没弹窗、智量主防没反应。。。唉,随手任务管理器里结束进程完事。。 ...

要等一会,大概要等5分钟
kaba666
 楼主| 发表于 2019-6-30 14:07:33 来自手机 | 显示全部楼层
a233 发表于 2019-6-30 09:00
要等一会,大概要等5分钟

什么?要等5分钟?你测了?什么反应?
静影沉璧
发表于 2019-6-30 14:11:45 | 显示全部楼层

BD

Gen:Suspicious.Cloud.1.Vu0@aqJkREoi


本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
jdsh
发表于 2019-6-30 14:47:30 | 显示全部楼层
jdsh 发表于 2019-6-29 19:28
2019/6/29 19:26:07    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:%users\jdsh\downloa ...

2019/6/30 14:43:16    向其他进程复制句柄    允许
进程: c:\windows\system32\svchost.exe
目标: c:\users\jdsh\downloads\1.exe
句柄: (Thread) c:\windows\system32\cmd.exe
规则: [应用程序]c:\windows\system32\svchost.exe

2019/6/30 14:43:19    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\users\jdsh\downloads\1.exe
命令行: C:\Users\jdsh\Downloads\1.exe  
规则: [应用程序]*

2019/6/30 14:43:21    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\16986144
规则: [文件]*

2019/6/30 14:43:24    删除文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\16986144
规则: [文件]*

2019/6/30 14:43:26    修改文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2019/6/30 14:43:31    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\36714156.tmp
规则: [文件]*

2019/6/30 14:43:32    修改文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\36714156.tmp
规则: [文件]*

2019/6/30 14:43:33    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\5977396D.tmp
规则: [文件]*

2019/6/30 14:43:34    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\4B334848.tmp
规则: [文件]*

2019/6/30 14:43:35    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\5035476D.tmp
规则: [文件]*

2019/6/30 14:43:36    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\39473874.tmp
规则: [文件]*

2019/6/30 14:43:37    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\68316151.tmp
规则: [文件]*

2019/6/30 14:43:39    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\606.tmp
规则: [文件]*

2019/6/30 14:43:41    修改文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\606.tmp
规则: [文件]*

2019/6/30 14:43:42    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Local\Temp\1555.tmp
规则: [文件]*

2019/6/30 14:43:59    使用配置单元文件替换注册表项    允许
进程: c:\users\jdsh\downloads\1.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet007
配置单元: C:\Users\jdsh\AppData\Local\Temp\1555.tmp
规则: [应用程序]*

2019/6/30 14:44:10    修改注册表值    允许
进程: c:\users\jdsh\downloads\1.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\Select\Current
值: 0x00000007(7)
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\Select

2019/6/30 14:44:12    修改注册表值    允许
进程: c:\users\jdsh\downloads\1.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\Select\Default
值: 0x00000007(7)
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\Select

2019/6/30 14:44:14    修改注册表值    允许
进程: c:\users\jdsh\downloads\1.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\Select\LastKnownGood
值: 0x00000007(7)
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\Select

2019/6/30 14:44:16    创建文件夹    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Roaming\ZMSBuild
规则: [文件]*

2019/6/30 14:44:21    修改注册表值    允许
进程: c:\users\jdsh\downloads\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\ZMSBuild
值: C:\Users\jdsh\AppData\Roaming\ZMSBuild\ZMSBuild.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2019/6/30 14:44:24    修改文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\ntuser.dat.LOG1
规则: [文件]*

2019/6/30 14:44:26    修改文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\NTUSER.DAT
规则: [文件]*

2019/6/30 14:44:28    创建文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\AppData\Roaming\ZMSBuild\ZMSBuild.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2019/6/30 14:44:30    删除文件    允许
进程: c:\users\jdsh\downloads\1.exe
目标: C:\Users\jdsh\Downloads\1.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2019/6/30 14:44:32    注销、关机或重新启动系统    阻止
进程: c:\windows\system32\winlogon.exe
规则: [应用程序]c:\windows\system32\winlogon.exe


www-tekeze
发表于 2019-6-30 14:56:15 | 显示全部楼层
a233 发表于 2019-6-30 09:00
要等一会,大概要等5分钟

奇怪,刚才双击很快就有动作了,首先被智量主防杀!
退出智量双击,添加自启、删除自身、联网等,但火绒始终不报毒。。

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
kaba666
 楼主| 发表于 2019-6-30 18:00:13 来自手机 | 显示全部楼层
www-tekeze 发表于 2019-6-30 14:56
奇怪,刚才双击很快就有动作了,首先被智量主防杀!
退出智量双击,添加自启、删除自身、联网等,但火绒 ...

兄弟,这病毒我今天好好测了一下,好厉害,卡巴自动模式下没反应,5分钟后,自动重启电脑,开机后,卡巴无法工作,任务管理器里看不到卡巴进程!手动打开卡巴,一直显示启动进度条,连微软安全中心也洗白,安全中心也启动不了,卡巴手动模式下,拦截了两项,创建文件,和创建开机启动项,我放过了创建文件,拦截了开机启动项,在拒绝写开机启动项后,电脑瞬间重启,开机后卡巴同样洗白,安全中心也洗白!
kaba666
 楼主| 发表于 2019-6-30 19:58:52 | 显示全部楼层
都洗白了

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-3-28 17:23 , Processed in 0.113604 second(s), 14 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表