发像个病毒,火绒还不管它

显示全部楼层 · 发表于 2020-2-9 15:21:22

lifan88 发表于 2020-2-9 15:10
有点不太对劲啊重启自己跑路了

在内存字符串里看到了process moniter...

对啊，重启后就没了，没有任何自我保护机制，不像是Rootkit
但我上报给智量后也入库了，莫非是多驱动Rootkit体系中的一部分由其他驱动保护的
或者是要联网获取组件但地址失效了，因为这个驱动是老文件而且VT上的behavior中有联网动作
话说你知道有什么在线沙箱平台能分析驱动行为的吗？
又或是系统环境问题，我在win7x64下试的

显示全部楼层 · 发表于 2020-2-9 16:41:06

zay365 发表于 2020-2-9 15:21
对啊，重启后就没了，没有任何自我保护机制，不像是Rootkit
但我上报给智量后也入库了，莫非是多驱动Roo ...

不知道，可能是改的processmonitor...要不就是利用processmonitor的。。要不就是如virustotal说展示的关系链，看exe是一个传奇反作弊登录器。。。

显示全部楼层 · 发表于 2020-2-9 16:44:55

您好，您所提供的文件下一版本火绒升级即可查杀，您升级后全盘查杀一下电脑，之后重启看看还有没有问题

显示全部楼层 · 发表于 2020-2-12 09:46:15

bitdefender 查杀

显示全部楼层 · 发表于 2020-2-12 16:47:33

Trojan:Win32/Woozlist.A

[讨论] 发像个病毒,火绒还不管它