用带毒暴风激活测试杀软能否拦截C盘和D盘交换

显示全部楼层 · 发表于 2020-8-9 16:16:06

本帖最后由落华无痕于 2020-8-9 18:03 编辑

样本（infected）：https://free.lanzous.com/izcRnfg6tgh

根据上一帖制作的测试样本：看装在C盘的杀软，运行样本并重启后有几个杀软目录是删不了的。另外这算不算漏洞？

随便弄了个样本，没有做更仔细的判断。

行为：
样本运行后，枚举注册表Run启动项，找到一个C:\Program Files或C:\Program Files (x86)路径的启动项，在D盘相应路径创建同名样本文件。
交换C盘和D盘盘符，在新的C盘创建D盘的windows、users、programdata软链接。重启系统后上面的样本会执行，下载并运行带毒的暴风激活（来源于百度搜索激活工具后的广告推广结果）。

显示全部楼层 · 发表于 2020-8-9 16:22:51

360没反应

显示全部楼层 · 发表于 2020-8-9 16:23:50

浪里个浪9527 发表于 2020-8-9 16:22
360没反应

到重启系统，出现暴风激活的界面代表完成。

显示全部楼层 · 发表于 2020-8-9 16:24:58

落华无痕发表于 2020-8-9 16:23
到重启系统，出现暴风激活的界面代表完成。

没重启360就崩了

显示全部楼层 · 发表于 2020-8-9 19:03:25

卡巴miss 已上报

显示全部楼层 · 发表于 2020-8-9 19:15:40

智量V2.66桌面监控Kill

显示全部楼层 · 发表于 2020-8-9 19:46:29

本帖最后由 WAR314159 于 2020-8-10 08:56 编辑

ESET miss 已上报第2天入库
时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
2020/8/10 8:48:07;文件系统实时防护;文件;C:\Users\ASUS\Desktop\cOrd.exe;Win32/TrojanDownloader.Agent.FHD 特洛伊木马的变种;通过删除清除;DESKTOP-MHBQUVD\ASUS;尝试通过应用程序访问文件时发生事件: C:\Windows\explorer.exe (AAACCF081725C91162A1CEAD2ECB0402AF40C145).;75506B8B12EDA30E74D91DBD80C1DC3118A68C14;2020/8/9 13:46:21

显示全部楼层 · 发表于 2020-8-9 19:51:41

毒霸云鉴定后

扫描时间：[2020-08-09 19:51:11]
扫描用时：[00:00:06]
扫描类型：自定义查杀
扫描文件总数：1
扫描速度：1文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2020-08-09 19:51:21]
威胁：e:\浏览器下载\cord\cord.exe
类型：win32.heur.kvmh017.a.(kcloud)
处理方式：删除

复制代码

显示全部楼层 · 发表于 2020-8-9 21:36:51

诺顿日常 WS.Reputation.1

显示全部楼层 · 发表于 2020-8-9 21:54:58

运行后提示盘符交换，重启前火绒还能拦截到病毒，重启后火绒挂掉。楼主教了坏孩子们一招

[病毒样本] 用带毒暴风激活测试杀软能否拦截C盘和D盘交换

本帖子中包含更多资源

本帖子中包含更多资源