#Sodinokibi (2020-04-10)

LSPD

eset清空

QVM360

LSPD 发表于 2020-4-10 09:15
eset清空

我这是报高级内存扫描程序

暗_黑

BD杀upx     Gen:Variant.Razy.598416

ft-cai

QVM360 发表于 2020-4-10 09:14
误报。。双击看看

沙箱里开了五分钟卡巴PDM都没报毒..

刚才小东西OSA拦掉了

等一下扔到虚拟机中试试

3801187

2020/4/10 09:13:20    c:\windows\explorer.exe    创建新进程    c:\users\administrator\desktop\1.exe    允许    [应用程序]*    命令行: "C:\Users\Administrator\Desktop\1.exe"
2020/4/10 09:13:22    c:\windows\system32\svchost.exe    修改其他进程    c:\users\administrator\desktop\1.exe    允许    [应用程序]c:\windows\system32\svchost.exe   
2020/4/10 09:13:43    c:\users\administrator\desktop\1.exe    向其他进程发送消息    c:\windows\explorer.exe    阻止    [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [目标应用程序]c:\windows\explorer.exe    消息: WM_GETTEXTLENGTH
2020/4/10 09:13:46    c:\users\administrator\desktop\1.exe    向其他进程发送消息    c:\windows\explorer.exe    阻止    [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [目标应用程序]c:\windows\explorer.exe    消息: WM_GETTEXT
2020/4/10 09:13:58    c:\users\administrator\desktop\1.exe    访问COM接口    {8BC3F05E-D86B-11D0-A075-00C04FB68820} Windows Management and Instrumentation    阻止    [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [COM接口]{8BC3F05E-D86B-11D0-A075-00C04FB68820}   
2020/4/10 09:14:04    c:\users\administrator\desktop\1.exe    结束其他进程    c:\program files\mozilla firefox\firefox.exe    阻止    [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [目标应用程序]?:\program files\*   
2020/4/10 09:14:13    c:\windows\system32\taskeng.exe    创建新进程    c:\program files\mozilla firefox\default-browser-agent.exe    阻止    [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]c:\program files\*    命令行: "C:\Program Files\Mozilla Firefox\default-browser-agent.exe" do-task
2020/4/10 09:14:15    c:\users\administrator\desktop\1.exe    访问COM接口    {8BC3F05E-D86B-11D0-A075-00C04FB68820} Windows Management and Instrumentation    阻止    [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [COM接口]{8BC3F05E-D86B-11D0-A075-00C04FB68820}   
2020/4/10 09:14:28    c:\users\administrator\desktop\1.exe    结束其他进程 (4)    c:\program files\mozilla firefox\firefox.exe    阻止    [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [目标应用程序]?:\program files\*   
2020/4/10 09:14:38    c:\users\administrator\desktop\1.exe    创建新进程    c:\windows\system32\windowspowershell\v1.0\powershell.exe    阻止    [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]c:\windows\*    命令行: powershell -e RwBlAHQALQBXAG0AaQBPAGIAagBlAGMAdAAgAFcAaQBuADMAMgBfAFMAaABhAGQAbwB3AGMAbwBwAHkAIAB8ACAARgBvAHIARQBhAGMAaAAtAE8AYgBqAGUAYwB0ACAAewAkAF8ALgBEAGUAbABlAHQAZQAoACkAOwB9AA==
2020/4/10 09:14:38    c:\users\administrator\desktop\1.exe    创建文件    C:\tg516im-readme.txt    阻止    [文件组]文件阻止及保护 -> [文件]?:\   
2020/4/10 09:14:38    c:\users\administrator\desktop\1.exe    修改文件权限    C:\bootmgr    阻止    [文件组]文件阻止及保护 -> [文件]?:\   
2020/4/10 09:14:38    c:\users\administrator\desktop\1.exe    修改文件夹权限    C:\CXDN    阻止    [文件组]文件阻止及保护 -> [文件]?:\   
2020/4/10 09:14:38    c:\users\administrator\desktop\1.exe    修改文件夹权限    C:\inetpub    阻止    [文件组]文件阻止及保护 -> [文件]?:\   
2020/4/10 09:14:38    c:\users\administrator\desktop\1.exe    修改文件夹权限    C:\Program Files    阻止    [文件组]文件阻止及保护 -> [文件]?:\   
2020/4/10 09:14:45    c:\users\administrator\desktop\1.exe    创建文件    C:\program files\tg516im-readme.txt    允许    [文件组]全局写入询问 -> [文件]?:\program files\*   
2020/4/10 09:14:46    c:\users\administrator\desktop\1.exe    修改文件夹权限    C:\Recovery    阻止    [文件组]文件阻止及保护 -> [文件]?:\   
2020/4/10 09:14:46    c:\users\administrator\desktop\1.exe    修改文件夹权限    C:\Users    阻止    [文件组]文件阻止及保护 -> [文件]?:\   

swizzer

智量

1.exe-Trojan.Generic
1-upx.exe-Heur.ML.PE.B

莒县小哥

ELOHIM 发表于 2020-4-10 09:04
我的WD可能废了。。

没废

swizzer

LSPD 发表于 2020-4-10 09:15
eset清空

为什么只有我这里是AMSI杀掉了

1. 时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
   
2. 2020/4/10 9:33:39;AMSI 扫描程序;文件;script;PowerShell/DelShadowCopy.A 特洛伊木马;已阻止;PC-202004020931\Administrator;;95786A4DE23FFB5935973D801BEF42A92B2DC6E0;
   

复制代码

救命稻草