一个感染u盘的病毒！！！

显示全部楼层 · 发表于 2020-7-31 13:06:49

本帖最后由 calyperides 于 2020-7-31 13:08 编辑

该病毒发现于一家医疗客户单位，具体表现为，U盘接入后，所有文件以及文件夹被赋予系统及隐藏属性，并创建该文件及文件夹的快捷方式，同时释放病毒文件至U盘根目录，所有快捷方式赋值为运行时将病毒文件取消隐藏及系统属性，将其复制到/windows/temp目录下，再添加隐藏及系统属性，最后执行病毒文件。（这个病毒好像有点类似于之前的犇牛，不知道是不知这个，太多年了，忘记名字）
目前检测到，病毒生成以用户执行的进程svchost.exe，释放病毒文件至：%USERPROFILE%/appdata/Roaming\Microsoft\Windows\病毒名.exe；%USERPROFILE%/appdata/Roaming\Update\exeplorer.exe，同时在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\下添加“病毒名”与“explorer”两个启动项。

以上操作在未对病毒进行调试的情况下手动分析得出，是否具有其他操作及影响未知。
处理手段：停止svchost进程，删除启动项及病毒文件即可。

目前360企业版、火绒，未对此病毒进行反馈，提示无风险。（病毒发现时间于2020.7.20）

解压密码：infected

显示全部楼层 · 发表于 2020-7-31 13:12:37

avg 查杀

显示全部楼层 · 发表于 2020-7-31 13:13:41

Avast
Win32:Malware-gen

显示全部楼层 · 发表于 2020-7-31 13:15:56

EIS解压秒杀

显示全部楼层 · 发表于 2020-7-31 13:31:52

卡巴 kill

显示全部楼层 · 发表于 2020-7-31 13:33:05

智量V2.66 解压秒

显示全部楼层 · 发表于 2020-7-31 13:35:34

毒霸

扫描时间：[2020-07-31 13:35:04]
扫描用时：[00:00:04]
扫描类型：自定义查杀
扫描文件总数：1
扫描速度：1文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2020-07-31 13:35:13]
威胁：e:\浏览器下载\ptwrghq\ptwrghq.exe
类型：win32.troj.undef.(kcloud)
处理方式：删除

复制代码

显示全部楼层 · 发表于 2020-7-31 14:02:12

本帖最后由浪里个浪9527 于 2020-7-31 14:03 编辑

解压杀

显示全部楼层 · 发表于 2020-7-31 14:07:00

本帖最后由欧阳宣于 2020-7-31 14:15 编辑

BEST 触发上传沙箱判定为Worm

显示全部楼层 · 发表于 2020-7-31 14:54:28

[病毒样本] 一个感染u盘的病毒！！！

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源