搜索
查看: 1490|回复: 33
收起左侧

[病毒样本] 一发rootKit

[复制链接]
swizzer
发表于 2019-7-22 09:38:43 | 显示全部楼层 |阅读模式
本帖最后由 swizzer 于 2019-7-22 09:56 编辑

https://c-t.work/s/f17f452fecda49

过了智量主防,扫描未测。手杀党可以试试

2019\7\22 星期一 09:51:08    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\$1area\onlineinstaller\onlineinstaller.exe
命令行: "F:\$1area\OnlineInstaller\OnlineInstaller.exe"
规则: [应用程序]c:\windows\explorer.exe

2019\7\22 星期一 09:51:15    创建新进程    允许
进程: f:\$1area\onlineinstaller\onlineinstaller.exe
目标: c:\users\administrator.userchi-s6endp8\appdata\local\temp\onlineinstaller.tmp
命令行: C:\Users\ADMINI~1.USE\AppData\Local\Temp\OnlineInstaller.tmp -install
规则: [应用程序组]『询问』病毒测试

2019\7\22 星期一 09:51:21    修改注册表值    允许
进程: f:\$1area\onlineinstaller\onlineinstaller.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\Cache\Content\CachePrefix
值:
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2019\7\22 星期一 09:51:21    创建文件    阻止
进程: c:\users\administrator.userchi-s6endp8\appdata\local\temp\onlineinstaller.tmp
目标: C:\Windows\system32\spoolsr.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]系统高危文件

2019\7\22 星期一 09:51:21    创建文件    阻止
进程: c:\users\administrator.userchi-s6endp8\appdata\local\temp\onlineinstaller.tmp
目标: C:\Windows\system32\drivers\iaStorE.sys
规则: [应用程序组]『询问』病毒测试 -> [文件组]系统高危文件

2019\7\22 星期一 09:51:27    修改注册表值    阻止
进程: c:\users\administrator.userchi-s6endp8\appdata\local\temp\onlineinstaller.tmp
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl\DumpFilters
值: dumpfve.sys iaStorE.sys
规则: [应用程序组]『询问』病毒测试 -> [注册表]*



评分

参与人数 2人气 +4 收起 理由
yjwfdc + 3 版区有你更精彩: )
www-tekeze + 1 版区有你更精彩: )

查看全部评分

kaba666
发表于 2019-7-22 09:46:51 | 显示全部楼层
卡巴启发干掉

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
温馨小屋
发表于 2019-7-22 09:47:00 | 显示全部楼层
本帖最后由 温馨小屋 于 2019-7-22 10:05 编辑

最爱rootkit了

22.07.2019 09.47.45;检测到的对象 ( 文件 ) 已删除;Z:\utf-8' 'OnlineInstaller\OnlineInstaller.exe;Z:\utf-8' 'OnlineInstaller\OnlineInstaller.exe;HEUR:Trojan.Win32.Generic



稍后清除测试

运行后重启

病毒驱动伪装成intel快速启动技术的驱动,数字签名无效




本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
liu237
发表于 2019-7-22 09:48:29 | 显示全部楼层
ESET

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
liu237
发表于 2019-7-22 09:49:09 | 显示全部楼层
小红伞也杀
swizzer
 楼主| 发表于 2019-7-22 09:57:39 | 显示全部楼层
温馨小屋 发表于 2019-7-22 09:47
最爱rootkit了

22.07.2019 09.47.45;检测到的对象 ( 文件 ) 已删除;Z:%utf-8' 'OnlineInstaller\O ...

支持一个~我用急救箱重启了两次才杀掉。。。
温馨小屋
发表于 2019-7-22 10:01:21 | 显示全部楼层
swizzer 发表于 2019-7-22 09:57
支持一个~我用急救箱重启了两次才杀掉。。。

我都怀疑是不是驱动没加载,pch没看出任何痕迹就被卡巴干掉了


Jerry.Lin
发表于 2019-7-22 10:05:09 | 显示全部楼层
GD

  1. 对象:: OnlineInstaller.exe
  2.         路径:: C:\Users\zhong.000\Downloads\Compressed\卡饭\OnlineInstaller
  3.         状态:: 发现病毒
  4.         病毒:: Gen:Variant.Mikey.80790
复制代码
swizzer
 楼主| 发表于 2019-7-22 10:08:34 | 显示全部楼层
温馨小屋 发表于 2019-7-22 10:01
我都怀疑是不是驱动没加载,pch没看出任何痕迹就被卡巴干掉了

这个rootkit防护做的估计不太好。。。我手杀时能直接恢复它的钩子而不蓝屏。。。
swizzer
 楼主| 发表于 2019-7-22 10:09:40 | 显示全部楼层
温馨小屋 发表于 2019-7-22 10:01
我都怀疑是不是驱动没加载,pch没看出任何痕迹就被卡巴干掉了

我记得在我这它还会加载一个 FsWriteBack.sys
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛|卡饭乐购| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 苏ICP备07004770号 ) GMT+8, 2019-9-20 07:49 , Processed in 0.044254 second(s), 6 queries , MemCache On.

快速回复 返回顶部 返回列表