新鲜热辣样本一枚！

挥泪斩情思

温馨小屋

BD

Win32.Neshta.A
Application.ScreenLocker.A

zay365

搭mi-guan啊，要是能套到个0day就赚大发了

www-tekeze

安天和无BD管家都是清空，报感染型病毒！

www-tekeze

恢复昨晚虚拟机快照，火绒报两个感染型 (处理后全部修复)，智量Heur杀一个，另一个也报感染型。

蓝泽祈

你不加密码，卡巴直接拦截
08.02.2020 14.36.27        可选择扫描        任务完成        文件夹: C:\Users\aaa\Desktop\xmrigP        完成时间: 今天，2020/2/8/星期六 14:36
08.02.2020 14.36.27        检测到的对象 ( 文件 ) 已被清除        C:\Users\aaa\Desktop\xmrigP\xmrig-notls.exe        文件: C:\Users\aaa\Desktop\xmrigP\xmrig-notls.exe        对象名称: Virus.Win32.Neshta.a
08.02.2020 14.36.26        检测到的对象 ( 文件 ) 已移动至隔离        C:\Users\aaa\Desktop\xmrigP\xmrig-notls.exe        文件: C:\Users\aaa\Desktop\xmrigP\xmrig-notls.exe        对象名称: Virus.Win32.Neshta.a
08.02.2020 14.36.25        检测到的对象 ( 文件 ) 已被清除        C:\Users\aaa\Desktop\xmrigP\Desktop_Locker.exe        文件: C:\Users\aaa\Desktop\xmrigP\Desktop_Locker.exe        对象名称: Virus.Win32.Neshta.a
08.02.2020 14.36.25        检测到的对象 ( 文件 ) 已移动至隔离        C:\Users\aaa\Desktop\xmrigP\Desktop_Locker.exe        文件: C:\Users\aaa\Desktop\xmrigP\Desktop_Locker.exe        对象名称: Virus.Win32.Neshta.a
08.02.2020 14.35.58        对象( 文件 )未被处理        C:\Users\aaa\Desktop\xmrigP\start.cmd        文件: C:\Users\aaa\Desktop\xmrigP\start.cmd        对象名称: not-a-virus:RiskTool.BAT.BitCoinMiner.ab        原因: 由用户允许
08.02.2020 14.35.55        对象( 文件 )未被处理        C:\Users\aaa\Desktop\xmrigP\xmrig-notls.exe        文件: C:\Users\aaa\Desktop\xmrigP\xmrig-notls.exe        对象名称: Virus.Win32.Neshta.a        原因: 稍后处理
08.02.2020 14.35.55        检测到的对象( 文件 )        C:\Users\aaa\Desktop\xmrigP\xmrig-notls.exe        文件: C:\Users\aaa\Desktop\xmrigP\xmrig-notls.exe        对象名称: Virus.Win32.Neshta.a
08.02.2020 14.35.55        对象( 文件 )未被处理        C:\Users\aaa\Desktop\xmrigP\Desktop_Locker.exe        文件: C:\Users\aaa\Desktop\xmrigP\Desktop_Locker.exe        对象名称: Virus.Win32.Neshta.a        原因: 稍后处理
08.02.2020 14.35.55        检测到的对象( 文件 )        C:\Users\aaa\Desktop\xmrigP\Desktop_Locker.exe        文件: C:\Users\aaa\Desktop\xmrigP\Desktop_Locker.exe        对象名称: Virus.Win32.Neshta.a
08.02.2020 14.35.55        对象( 文件 )未被处理        C:\Users\aaa\Desktop\xmrigP\start.cmd        文件: C:\Users\aaa\Desktop\xmrigP\start.cmd        对象名称: not-a-virus:RiskTool.BAT.BitCoinMiner.ab        原因: 稍后处理
08.02.2020 14.35.55        检测到的对象( 文件 )        C:\Users\aaa\Desktop\xmrigP\start.cmd        文件: C:\Users\aaa\Desktop\xmrigP\start.cmd        对象名称: not-a-virus:RiskTool.BAT.BitCoinMiner.ab
08.02.2020 14.35.54        可选择扫描        任务启动        文件夹: C:\Users\aaa\Desktop\xmrigP        时间: 今天，2020/2/8/星期六 14:35

上等风格

垃圾样本是个杀软都能杀

FD丶纸鸢

咖啡

在扫描 C:\Users\Administrator\Desktop\hahaha\Desktop_Locker.exe 的过程中检测到名为 W32/HLLP.41472.e 的 病毒
TMH8RMFSS6C5KJ1\Administrator 运行的 C:\Program Files\Bandizip\Bandizip.exe 试图访问 C:\Users\Administrator\Desktop\hahaha\Desktop_Locker.exe。 已检测到并删除了名为 Artemis!32D21958D95F 的 特洛伊木马程序。
TMH8RMFSS6C5KJ1\Administrator 运行的 C:\Program Files\Bandizip\Bandizip.exe 试图访问 C:\Users\Administrator\Desktop\hahaha\xmrig-notls.exe。 已检测到并清理了名为 W32/HLLP.41472.e 的 病毒

lifan88

驱动是日语驱动？？？白利用又来了？

lifan88

楼主我必须顶你的帖子

你的一个组件来自于myking僵尸网络（就是暗云那一套）

xmrig组件是在我找某文章的组件时候发现的：
http://www.lianchaguan.com/archives/8036（里面的bootkit下下来一看是暗云bootkit，火绒报的变种2...）楼主可能要检查一下内核是否被人加料了
楼主的xmrig组件也上上面的某一个md5。。。

还有你那个winring0.sys，这个驱动是个白驱动，但是从这篇文章报道来看，你这个驱动存在白利用，骨架你要好好检查了：https://eclypsium.com/2019/11/12/mother-of-all-drivers/

白驱动杀伤力特别大，我自己测试robinhood的那个白驱动组件可以在win10x64-1709上直接加载几个完全无签名驱动（DSE disable）