#Gozi #Ursnif #Injector #Downloader

显示全部楼层 · 发表于 2020-2-20 21:24:03

本帖最后由 BE_HC 于 2020-2-20 21:31 编辑

下载:https://www.lanzous.com/i9ixoed 密码:hxfd

Collecting data from file: C:\Users\Jerry\Desktop\corpo1.EXE
41.0% (.EXE) Win32 Executable MS Visual C++ (generic) (31206/45/13)
36.3% (.EXE) Win64 Executable (generic) (27624/17/4)
8.6% (.DLL) Win32 Dynamic Link Library (generic) (6578/25/2)
5.9% (.EXE) Win32 Executable (generic) (4508/7/1)
2.6% (.EXE) OS/2 Executable (generic) (2029/13)

复制代码

Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\cmipsitf; Data: rundll32 "C:\Users\Administrator\AppData\Roaming\Microsoft\Bitstnet\Authenum.dll",DllRegisterServer;

复制代码

显示全部楼层 · 发表于 2020-2-20 21:26:17

g data miss

显示全部楼层 · 发表于 2020-2-20 21:28:10

eset报了

显示全部楼层 · 发表于 2020-2-20 21:28:29

BD

显示全部楼层 · 发表于 2020-2-20 21:28:36

本帖最后由 a233 于 2020-2-20 21:37 编辑

Avast扫描Miss
注册IDP拦截

显示全部楼层 · 发表于 2020-2-20 21:31:10

本帖最后由 hklwk 于 2020-2-20 21:52 编辑

McAfee Miss

DAC阻止了一些动作

DESKTOP-A6ETHOJ\TEST 執行的 C:\Windows\SysWOW64\regsvr32.exe 嘗試存取 explorer.exe 處理程序，這違反了「正在終止另一個處理程序」規則，已封鎖此處理程序。如需如何回應此事件的相關資訊，請參閱 KB85494。

复制代码

DESKTOP-A6ETHOJ\TEST 執行的 C:\Windows\SysWOW64\regsvr32.exe 嘗試存取 explorer.exe 處理程序，這違反了「正在寫入另一個處理程序的記憶體」規則，已封鎖此處理程序。如需如何回應此事件的相關資訊，請參閱 KB85494。

复制代码

DESKTOP-A6ETHOJ\TEST 執行的 C:\Windows\SysWOW64\regsvr32.exe 嘗試存取 explorer.exe 處理程序，這違反了「正在將記憶體配置到另一個處理程序」規則，已封鎖此處理程序。如需如何回應此事件的相關資訊，請參閱 KB85494。

复制代码

DESKTOP-A6ETHOJ\TEST 執行的 C:\Windows\SysWOW64\regsvr32.exe 嘗試存取 explorer.exe 處理程序，這違反了「正在暫停處理程序」規則，已封鎖此處理程序。如需如何回應此事件的相關資訊，請參閱 KB85494。

复制代码

DESKTOP-A6ETHOJ\TEST 執行的 C:\Windows\SysWOW64\regsvr32.exe 嘗試存取 explorer.exe 處理程序，這違反了「正在另一個處理程序中建立執行緒」規則，已封鎖此處理程序。如需如何回應此事件的相關資訊，請參閱 KB85494。

复制代码

DESKTOP-A6ETHOJ\TEST 執行的 C:\Windows\SysWOW64\regsvr32.exe 嘗試存取 HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\，這違反了「正在修改啟動登錄位置」規則，已封鎖此處理程序。如需如何回應此事件的相關資訊，請參閱 KB85494。

复制代码

DESKTOP-A6ETHOJ\TEST 執行的 C:\Windows\explorer.exe 嘗試存取 HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\APDSPAIR，這違反了「註冊要自動執行的程式」規則，已封鎖此處理程序。如需如何回應此事件的相關資訊，請參閱 KB85494。

复制代码

DESKTOP-A6ETHOJ\TEST 執行的 C:\Windows\explorer.exe 嘗試存取 HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\APDSPAIR，這違反了「New Startup Program Creation」規則，已封鎖此處理程序。如需如何回應此事件的相關資訊，請參閱 KB85494。

复制代码

显示全部楼层 · 发表于 2020-2-20 21:33:39

本帖最后由温馨小屋于 2020-2-20 22:25 编辑

卡巴，内存检测杀，但是Rundll32进程依然存在

20.02.2020 21.31.41;检测到恶意软件;MEM:Trojan-Banker.Win32.Gozi.gen;Kaspersky Anti-Virus;System Memory;02/20/2020 21:31:41

点击清除后重启病毒进程依然存在，正在尝试高级清除

一直都是未处理，怎么点清除也不管用

显示全部楼层 · 发表于 2020-2-20 21:34:11

hklwk 发表于 2020-2-20 21:31
McAfee Miss

这是DLL，不是EXE

显示全部楼层 · 发表于 2020-2-20 21:41:09

BD 扫描 miss

显示全部楼层 · 发表于 2020-2-20 21:42:18

IKARUS miss.

[病毒样本] #Gozi #Ursnif #Injector #Downloader

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分