EXE样本10X_85

QVM360

火绒
双击#1，被过
双击#2，被过
双击#3样本，首先会删除还原点，然后立即被火绒主防杀！没任何文件被加密！


#4火绒扫描Killed
双击#5，首先会调用cmd.exe，放行后会在%Appdata%\Microsoft\Windows\Start Menu\Programs\Startup中释放一个tmp文件（将tmp文件添加到开机启动项中），放行后会将wsmprovhost.exe对应的wsmprovhost.lnk添加到启动目录（"%Appdata%\Microsoft\Windows\Start Menu\Programs\Startup"目录），放行后会将wsmprovhost.job添加到系统任务目录（"%Systemroot%\Tasks"目录）中，放行后火绒主防没反应，算半个拦截成功。

双击#5，被过
双击#6，被过
双击#7，被火绒主防报后门

双击#8，被过
双击#9，被过
双击#10，不知道从哪里来的sounder.exe会调用cmd.exe，不算拦截成功。。

双击这么多，求大佬赏糖

xcvbaby

毒霸  8x
扫描时间：[2020-03-04 17:34:29]
扫描用时：[00:00:05]
扫描类型：自定义查杀
扫描文件总数：10
扫描速度：1文件/秒
发现威胁：8个
清除威胁：8个
=============================================
[2020-03-04 17:34:52]
威胁：d:\我的文档\desktop\exe样本10x_85\#85 (1).vir
类型：win32.troj.generic_a.a.(kcloud)
处理方式：删除

[2020-03-04 17:34:52]
威胁：d:\我的文档\desktop\exe样本10x_85\#85 (3).vir
类型：win32.troj.undef.(kcloud)
处理方式：删除

[2020-03-04 17:34:52]
威胁：d:\我的文档\desktop\exe样本10x_85\#85 (4).vir
类型：win32.troj.zenpak.w.(kcloud)
处理方式：删除

[2020-03-04 17:34:52]
威胁：d:\我的文档\desktop\exe样本10x_85\#85 (5).vir
类型：win32.hack.undef.(kcloud)
处理方式：删除

[2020-03-04 17:34:52]
威胁：d:\我的文档\desktop\exe样本10x_85\#85 (10).vir
类型：win32.hack.undef.(kcloud)
处理方式：删除

[2020-03-04 17:34:52]
威胁：d:\我的文档\desktop\exe样本10x_85\#85 (6).vir
类型：win32.pswtroj.undef.(kcloud)
处理方式：删除

[2020-03-04 17:34:52]
威胁：d:\我的文档\desktop\exe样本10x_85\#85 (8).vir
类型：win32.troj.undef.(kcloud)
处理方式：删除

[2020-03-04 17:34:52]
威胁：d:\我的文档\desktop\exe样本10x_85\#85 (9).vir
类型：win32.troj.generic_a.a.(kcloud)
处理方式：删除

LSPD

温馨小屋 发表于 2020-3-4 16:58
卡巴剩一个2

2号好像反虚拟机

QVM360

LSPD 发表于 2020-3-4 18:33
2号好像反虚拟机

谁吧我置顶的取消了，说，是不是你

温馨小屋

LSPD 发表于 2020-3-4 18:33
2号好像反虚拟机

还好我没双击，开一次虚拟机SSD写入得涨好几G

LSPD

QVM360 发表于 2020-3-4 18:34
谁吧我置顶的取消了，说，是不是你

什么置顶

LSPD

温馨小屋 发表于 2020-3-4 18:36
还好我没双击，开一次虚拟机SSD写入得涨好几G

我把虚拟机安到机械硬盘里了
安到固态里太费写入了

QVM360

LSPD 发表于 2020-3-4 18:36
什么置顶

把楼层置顶啊

LSPD

QVM360 发表于 2020-3-4 18:39
把楼层置顶啊

你的11楼置顶还在啊

QVM360

LSPD 发表于 2020-3-4 18:41
你的11楼置顶还在啊

我刚刚把他置顶了，第一次置顶不知道被谁取消了