破坏力极强的蠕虫

显示全部楼层 · 发表于 2019-11-2 09:39:12

学校电脑上感染的，已知win7中了病毒以后无法加载桌面，在xp的表现为只能打开部分系统软件，其它软件打不开，运行后会自动生成大量病毒文件到C盘，感染其它正常文件，欢迎双击https://c-t.work/s/ad5afc8f31bc48

显示全部楼层 · 发表于 2019-11-2 09:40:01

行为分析器的部分数据
09:32:18[276]：(允许)字符串3：C:\WINDOWS\system32\4st4rg4tE.exe

09:32:18[277]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:18[278]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:18[279]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:18[280]：(安全环境)写入文件：C:\WINDOWS\system32\4st4rg4tE.exe

09:32:18[281]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\4st4rg4tE.exe

09:32:18[282]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\4st4rg4tE.exe

09:32:19[283]：(允许)字符串3：\\.\MountPointManager

09:32:19[284]：(允许)内联文件路径：\\.\MountPointManager

09:32:19[285]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[286]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[287]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[288]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[289]：(安全环境)写入文件：C:\WINDOWS\system32\4st4rg4tE.exe

09:32:19[290]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\4st4rg4tE.exe

09:32:19[291]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\4st4rg4tE.exe

09:32:19[292]：(允许)字符串3：kernel32

09:32:19[293]：(允许)加载库文件：kernel32    函数名：SetFileAttributesA

09:32:19[294]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[295]：(安全环境)设置文件属性：C:\WINDOWS\system32\\4st4rg4tE.exe

09:32:19[296]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\4st4rg4tE.exe

09:32:19[297]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\4st4rg4tE.exe

09:32:19[298]：(允许)字符串1：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[299]：(允许)字符串3：C:\WINDOWS\system32\materia .exe

09:32:19[300]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[301]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[302]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[303]：(安全环境)写入文件：C:\WINDOWS\system32\materia .exe

09:32:19[304]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\materia .exe

09:32:19[305]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\materia .exe

09:32:19[306]：(允许)字符串3：\\.\MountPointManager

09:32:19[307]：(允许)内联文件路径：\\.\MountPointManager

09:32:19[308]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[309]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[310]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[311]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[312]：(安全环境)写入文件：C:\WINDOWS\system32\materia .exe

09:32:19[313]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\materia .exe

09:32:19[314]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\materia .exe

09:32:19[315]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[316]：(安全环境)设置文件属性：C:\WINDOWS\system32\\materia .exe

09:32:19[317]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\materia .exe

09:32:19[318]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\materia .exe

09:32:19[319]：(允许)字符串1：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[320]：(允许)字符串3：C:\WINDOWS\system32\msload .exe

09:32:19[321]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[322]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[323]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[324]：(安全环境)写入文件：C:\WINDOWS\system32\msload .exe

09:32:19[325]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\msload .exe

09:32:19[326]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\msload .exe

09:32:19[327]：(允许)字符串3：\\.\MountPointManager

09:32:19[328]：(允许)内联文件路径：\\.\MountPointManager

09:32:19[329]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[330]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[331]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[332]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[333]：(安全环境)写入文件：C:\WINDOWS\system32\msload .exe

09:32:19[334]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\msload .exe

09:32:19[335]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\msload .exe

09:32:19[336]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[337]：(安全环境)设置文件属性：C:\WINDOWS\system32\\msload .exe

09:32:19[338]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\msload .exe

09:32:19[339]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\msload .exe

09:32:19[340]：(允许)字符串1：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[341]：(允许)字符串3：C:\WINDOWS\system32\winlop.scr

09:32:19[342]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[343]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[344]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[345]：(安全环境)写入文件：C:\WINDOWS\system32\winlop.scr

09:32:19[346]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\winlop.scr

09:32:19[347]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\winlop.scr

09:32:19[348]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[349]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[350]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[351]：(安全环境)写入文件：C:\WINDOWS\system32\winlop.scr

09:32:19[352]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\winlop.scr

09:32:19[353]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\winlop.scr

09:32:19[354]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[355]：(安全环境)设置文件属性：C:\WINDOWS\system32\\winlop.scr

09:32:19[356]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\winlop.scr

09:32:19[357]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\winlop.scr

09:32:19[358]：(允许)字符串3：advapi32.dll

09:32:19[359]：(允许)加载库文件：advapi32.dll    函数名：RegCreateKeyA

09:32:19[360]：(阻止)创建\打开注册表项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VBA\Monitors\Control Panel\Desktop\

09:32:19[361]：(允许)加载库文件：advapi32.dll    函数名：RegSetValueExA

09:32:19[362]：(阻止)写注册表值：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VBA\Monitors\SCRNSAVE.EXE    数据：C:\WINDOWS\system32\winlop.scr

09:32:19[363]：(允许)加载库文件：advapi32.dll    函数名：RegCloseKey

09:32:19[364]：(阻止)创建\打开注册表项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VBA\Monitors\Control Panel\Desktop\

09:32:19[365]：(阻止)写注册表值：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VBA\Monitors\ScreenSaverIsSecure    数据：0

09:32:19[366]：(允许)字符串3：kernel32.dll

09:32:19[367]：(允许)加载库文件：kernel32.dll    函数名：GetWindowsDirectoryA

09:32:19[368]：(允许)字符串1：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[369]：(允许)字符串3：C:\WINDOWS\st4rg4tE.exe

09:32:19[370]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[371]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[372]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[373]：(安全环境)写入文件：C:\WINDOWS\st4rg4tE.exe

09:32:19[374]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\st4rg4tE.exe

09:32:19[375]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\st4rg4tE.exe

09:32:19[376]：(允许)字符串3：\\.\MountPointManager

09:32:19[377]：(允许)内联文件路径：\\.\MountPointManager

09:32:19[378]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[379]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[380]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[381]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[382]：(安全环境)写入文件：C:\WINDOWS\st4rg4tE.exe

09:32:19[383]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\st4rg4tE.exe

09:32:19[384]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\st4rg4tE.exe

09:32:19[385]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[386]：(安全环境)设置文件属性：C:\WINDOWS\\st4rg4tE.exe

09:32:19[387]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\st4rg4tE.exe

09:32:19[388]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\st4rg4tE.exe

09:32:19[389]：(允许)字符串1：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[390]：(允许)字符串3：C:\WINDOWS\syskeys.com

09:32:19[391]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[392]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[393]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[394]：(安全环境)写入文件：C:\WINDOWS\syskeys.com

09:32:19[395]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\syskeys.com

09:32:19[396]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\syskeys.com

09:32:19[397]：(允许)字符串3：\\.\MountPointManager

09:32:19[398]：(允许)内联文件路径：\\.\MountPointManager

09:32:19[399]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[400]：(允许)读取文件：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[401]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[402]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\Dirlist .exe

09:32:19[403]：(安全环境)写入文件：C:\WINDOWS\syskeys.com

09:32:19[404]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\syskeys.com

09:32:19[405]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\syskeys.com

09:32:19[406]：(允许)字符串3：C:\Users\ADMINI~1\AppData\Local\Temp

09:32:19[407]：(安全环境)设置文件属性：C:\WINDOWS\\syskeys.com

09:32:19[408]：(允许)内联文件路径：C:\Users\Administor\Desktop\File_Analysis\File_safe\syskeys.com

09:32:19[409]：(允许)字符串3：C:\Users\Administor\Desktop\File_Analysis\File_safe\syskeys.com

09:32:19[410]：(阻止)创建\打开注册表项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VBA\Monitors\Software\Microsoft\Windows\CurrentVersion\Run\

09:32:19[411]：(阻止)写注册表值：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VBA\Monitors\st4rg4tE    数据：C:\WINDOWS\st4rg4tE.exe

09:32:19[412]：(允许)字符串3：shell32.dll

09:32:19[413]：(允许)加载库文件：shell32.dll    函数名：SHGetSpecialFolderLocation

09:32:19[414]：(允许)字符串3：Software\Microsoft\Windows\CurrentVersion\Explorer\FolderDescriptions

显示全部楼层 · 发表于 2019-11-2 09:44:07

本帖最后由 jdsh 于 2019-11-2 09:45 编辑

Emsisoft Anti-Malware

WD

显示全部楼层 · 发表于 2019-11-2 09:45:20

卡巴斯基查杀

显示全部楼层 · 发表于 2019-11-2 09:47:07

火绒

显示全部楼层 · 发表于 2019-11-2 10:33:22

微点扫描 1x 主防 kill

显示全部楼层 · 发表于 2019-11-2 10:37:02

压缩包被360卫士隔离
eset卡巴火绒先后报毒，不知道为啥智量这次监控没提醒，右键还是能扫出来的

火绒第一次解压报了，改个名字第二次解压没报，火绒设置的是行为监控

显示全部楼层 · 发表于 2019-11-2 11:20:19

杀软病综合医院发表于 2019-11-2 10:37
压缩包被360卫士隔离
eset卡巴火绒先后报毒，不知道为啥智量这次监控没提醒，右键还是能扫出来的
...

你实机运行后在扫描查杀看看能清除吗，我用卡巴斯基虚拟机双击后在查杀完美清除。

显示全部楼层 · 发表于 2019-11-2 11:50:17

sep kill

显示全部楼层 · 发表于 2019-11-2 11:55:18

本帖最后由杀软病综合医院于 2019-11-2 11:58 编辑

小淘气发表于 2019-11-2 11:20
你实机运行后在扫描查杀看看能清除吗，我用卡巴斯基虚拟机双击后在查杀完美清除。

刚才就是实机监控，
虚拟机瑞星+火绒，都开着文件实时监控，解压就给删了，没给双击的机会

如果设置为行为监控，解压后则不报毒，双击被瑞星优先拦截，点清除直接就删除了

如果只开火绒行为监控，双击也是直接删除，是自动处理的

一般能监控能发现的，双击拦截的住，也就是卡巴，清除有时候还要重启，别的软件一般是当场清除。
另外，杀毒关闭后，运行病毒都没什么反应，在开启杀毒查杀扫描也没有发现什么

[病毒样本] 破坏力极强的蠕虫

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源