加驱的破坏性病毒

QVM360

双击天下太平.exe，被火绒文件系统实时监控干掉
关闭文件系统实时监控双击，首先会在系统目录(C:\Windows)下写入一个lock.exe

然后会添加启动项

然后会修改txt的文件关联（命令行：assoc.exe .txt=jpegfile)

然后会屏蔽注册表管理器

然后会修改IE首页

然后被恶意行为监控报Distool！

禁用了一堆东西

txt文件关联被改

QVM360

开启ESET双击天下太平.exe
被主防拦截N次

全部允许后被锁

ox400000

咖啡kill3

ox400000

才过了半小时咖啡就能清空了

嗜血大叔

QVM360 发表于 2020-3-14 18:09
开启ESET双击天下太平.exe
被主防拦截N次

ESET的“主防”终于看到有点动静了，以前双击过ESET扫描MISS的样本HIPS没有一点动静

Nocria

IKARUS

1. [14.03.2020 19:55:08] On-demand scan started: "user_defined"
   
2. [14.03.2020 19:55:08] Found, 0.00s, SigName: "Trojan.Win32.VMProtect", SigId: 182673906, Type: "VIRUS", File: "C:\Users\promi\Desktop\天下太平 (2)\6IXhmiC.sys"
   
3. [14.03.2020 19:55:08] Found, 0.00s, SigName: "Trojan.Graftor", SigId: 3214146, Type: "VIRUS", File: "C:\Users\promi\Desktop\天下太平 (2)\mydri.sys"
   
4. [14.03.2020 19:55:08] Found, 0.00s, SigName: "Trojan-Downloader.Win32.Agent", SigId: 280761645, Type: "VIRUS", File: "C:\Users\promi\Desktop\天下太平 (2)\xCVc74j.sys"
   
5. [14.03.2020 19:55:08] Found, 0.31s, SigName: "Trojan.Win32.Genome", SigId: 2055745, Type: "VIRUS", File: "C:\Users\promi\Desktop\天下太平 (2)\天下太平.exe"
   
6. [14.03.2020 19:55:08] On-demand scan FINISHED: "user_defined"
   
7. [14.03.2020 19:55:08] ----------------------------------------------------
   
8. [14.03.2020 19:55:08] Directories scanned: 0
   
9. [14.03.2020 19:55:08] Files scanned: 4
   
10. [14.03.2020 19:55:08] Virus found: 4
    
11. [14.03.2020 19:55:08] ----------------------------------------------------

复制代码

ELOHIM

微软剩下：6IXhmiC.sys。

www-tekeze

火绒通杀3X，智量清空！

www-tekeze

QVM360 发表于 2020-3-14 18:09
开启ESET双击天下太平.exe
被主防拦截N次

被主防拦截N次，厉害了。。。问题都是访问注册表、修改注册表，小白的我没看出有啥问题。。
请楼主把详细键值帖出来，我好问问度娘哈，这些键值有啥用。。

QVM360

www-tekeze 发表于 2020-3-15 01:19
被主防拦截N次，厉害了。。。问题都是访问注册表、修改注册表，小白的我没看出有啥问题。。
请楼 ...

详细键值看火绒。。ESET是拦截修改注册表，我开的是智能模式。。