终于找到一个超强的样本，过火绒过360过一切的免杀远控

liangxy

eset 潜在的不受欢迎的文件

www-tekeze

过一切？？ 智量Heur就干掉，火绒miss，有空双击。。

iiieo

厉害

1003305532

360入库了

www-tekeze

www-tekeze 发表于 2019-7-13 21:21
过一切？？ 智量Heur就干掉，火绒miss，有空双击。。

关闭智量监控双击，被主防连杀两次，game over 。。
退出智量双击，会删除自身、联网，等了一会被火绒报释放的Hi.exe为勒索。。

桑德尔

whf20 发表于 2019-7-13 16:44
360主防和扫描均无反应，没有双击。

没双击怎么测的主防？

左手

1. 2019/7/14 星期日 08:13:57    设置文件隐藏属性 风险提示:木马    允许
   
2. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
   
3. 目标: C:\Users\Administrator\Desktop\游戏位置\游戏位置.exe
   
4. 规则: [应用程序]?:\*\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
   
5. 
   
6. 2019/7/14 星期日 08:14:00    创建新进程 风险提示:未知    允许
   
7. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
   
8. 目标: c:\program files\2345pic\2345picviewer.exe
   
9. 命令行: "C:\Program Files\2345Pic\2345PicViewer.exe" "C:\Users\Administrator\Desktop\游戏位置\tt.jpg"
   
10. 规则: [应用程序]* -> [子应用程序]?:\program files\*
    
11. 
    
12. 2019/7/14 星期日 08:14:00    创建文件夹 风险提示:低风险    允许
    
13. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
    
14. 目标: C:\$loading
    
15. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]?:\*《任意文件夹》 -> [文件]?:\*
    
16. 
    
17. 2019/7/14 星期日 08:14:00    创建文件夹 风险提示:低风险    允许
    
18. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
    
19. 目标: C:\$loading\Word
    
20. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]?:\*《任意文件夹》 -> [文件]?:\*
    
21. 
    
22. 2019/7/14 星期日 08:14:06    设置文件夹隐藏属性 风险提示:木马    阻止
    
23. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
    
24. 目标: C:\$loading
    
25. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]?:\*《任意文件夹》 -> [文件]?:\*
    
26. 
    
27. 2019/7/14 星期日 08:14:06    创建文件 风险提示:低风险    阻止
    
28. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
    
29. 目标: C:\$loading\Word\Hi.exe
    
30. 规则: [文件组]《坚固》f110_只读系统分区 -> [文件]c:\*
    
31. 
    
32. 2019/7/14 星期日 08:14:13    修改注册表值 风险提示:木马    允许
    
33. 进程: d:\program files\毒霸护眼\kxetray.exe
    
34. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\kingsoft\antivirus\KSetting\kxesc
    
35. 值: 0x00000001(1)
    
36. 规则: [应用程序组]→a012_《多数用户信任的文件<360社区中有数千名用户使用了此文件>》 -> [注册表]*\Software\*\*
    
37. 
    
38. 2019/7/14 星期日 08:14:24    创建新进程 风险提示:未知    允许
    
39. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
    
40. 目标: c:\windows\system32\cmd.exe
    
41. 命令行: C:\windows\system32\cmd.exe /c C:\$loading\Word\EngineDP.bat
    
42. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
43. 
    
44. 2019/7/14 星期日 08:14:24    创建文件夹 风险提示:低风险    阻止
    
45. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
    
46. 目标: C:\Users\Administrator\AppData\Local\Temp\4778461234567931\....
    
47. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件]*; *..
    
48. 
    
49. 2019/7/14 星期日 08:14:24    从其他进程复制句柄 风险提示:高风险    阻止
    
50. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
    
51. 目标: c:\windows\system32\taskhost.exe
    
52. 句柄: (File) C:\Windows\System32
    
53. 规则: [应用程序]* -> [目标应用程序]c:\windows\*\*
    
54. 
    
55. 2019/7/14 星期日 08:14:31    在其他进程中创建线程 风险提示:高风险    阻止
    
56. 进程: c:\users\administrator\desktop\游戏位置\游戏位置.exe
    
57. 目标: c:\windows\system32\taskhost.exe
    
58. 规则: [应用程序]* -> [目标应用程序]c:\windows\*
    
59. 
    

复制代码

iiieo

还行

whf20

桑德尔 发表于 2019-7-14 07:02
没双击怎么测的主防？

主动防护不一定要双击啊，监控下载和打开的压缩包都应该属于。

hk2005

GD
病毒: Trojan.GenericKD.32147181 (引擎A), Win32.Trojan.Kryptik.HK@susp (引擎B)
文件: 游戏位置.exe