卡巴斯基总是报MEM：Trojan.Win32.SEPEH.gen，但是就是清除不掉！

Wesly.Zhang

爱子 发表于 2020-3-10 10:21
trace文件链接：https://pan.baidu.com/s/1wRlLTQe2ff7hPKPOfDF-3Q
提取码：j4ux

Hello，

首先我不是官人，其次我会分析给你结果。

Wesly.Zhang

Hello，

SRV Log 文件大小超过 2G，我工作电脑直接卡死……你到底运行了 traces 追踪 多少时间？

爱子

Wesly.Zhang 发表于 2020-3-10 12:31
Hello，

SRV Log 文件大小超过 2G，我工作电脑直接卡死……你到底运行了 traces 追踪 多少时间？

压缩后400m。没有好久，就几个小时。

Wesly.Zhang

Hello，

有程序往 explorer 进程所在内存写了数据，至于是谁写的，不得而知。

pmem:\RawPe_explorer.exe_7924_0x1bf60000_0x55f000_487C8B7352444BB7F8D24DDDDCD553BA7CDAC704B6B7E488C66198EDF25F4718) result: 0x00000000 : 0x00000002 : 0xEF620987 : ExecutableWin32pe : Win32 PE

这个是检测到的 explorer 领空的内容。其实这段东西命中两个威胁特征，一个是 UDS:DangerousObject.Multi.Generic，另一个就是 MEM:Trojan.Win32.SEPEH.gen，卡巴取了后者报了威胁名称。

你现在有两个方法调查这个，第一个用卡巴斯基的 HIPS 规则，建立一个对于 explorer 访问的询问机制。但是这个要开启 交互保护模式，这个方法我在晚上试试 卡巴斯基的 应用程序控制 看看能不能实现。我要知道到底有哪些程序有 写入 explorer 进程的行为。但是可能弹窗会较多，你需要截图每次弹窗的内容。

第二个就是你需要列出 exploer 进程所有加载的 DLL 文件以及句柄信息给到我，用 process explorer 程序。

Wesly.Zhang

Hello，

另外，你能否提供一份 GSI 报告？我需要看看你系统内有哪些进程会这么操作，争取排除判断下。

方法如下：卡巴斯基主程序 --> 技术支持 --> 支持工具 --> 将报告提交给技术支持 --> 确认勾选 系统诊断报告 --> 保存报告  --> 将报告 保存到 桌面 --> 等待进度条走到底完成 --> 把报告上传上来。

爱子

Wesly.Zhang 发表于 2020-3-10 13:19
Hello，

另外，你能否提供一份 GSI 报告？我需要看看你系统内有哪些进程会这么操作，争取排除判断下。

好的，我刚才忘记了上传另外的资料。
链接：https://pan.baidu.com/s/1psVCD4f1XsLRH-CXacrbSQ
提取码：i42s

爱子

Wesly.Zhang 发表于 2020-3-10 13:19
Hello，

另外，你能否提供一份 GSI 报告？我需要看看你系统内有哪些进程会这么操作，争取排除判断下。

高手，看一下46楼。我已经更新了卡巴斯基gsi报告。

Wesly.Zhang

爱子 发表于 2020-3-10 14:27
好的，我刚才忘记了上传另外的资料。
链接：https://pan.baidu.com/s/1psVCD4f1XsLRH-CXacrbSQ
提取码 ...

Hello,

我希望你能够单独把 GSI 报告给我，而不是 GSI + traces 一起打包给我。

pal家族

帮你提取了下你的gsi报告蚊子大不用再下载了
sysinfo.rar (138.55 KB, 下载次数: 44)

2020-3-10 16:14 上传

点击文件名下载附件

pal家族

Wesly.Zhang 发表于 2020-3-10 16:09
Hello,

我希望你能够单独把 GSI 报告给我，而不是 GSI + traces 一起打包给我。

49L 帮你提取了