MBRshutdown.exe (最残忍的开机就关机)

anthonyqian

诺顿信誉杀

专业路过

MOV AX,5301H                  //设定bios功能为高级电源接口连接
XOR BX,BX                          //设定系统bios
INT 15H                              //连接
MOV AX,530EH                  //设定bios功能为设置高级电源管理驱动版本
XOR BX,BX                          //设定系统bios
MOV CX,0102H                  //设定版本为1.2
INT 15H                              //设定
MOV AX,5307H                  //设定bios功能为设置电源状态
MOV BX,0001H                  //使用所有设备ID
MOV CX,0003H                  //设定为关闭标志
INT 15H                              //执行关闭操作

我爱王心凌

360sd 上报后查杀
类型：
木马程序(Trojan.Generic)

描述：
木马通常利用系统的漏洞，绕过系统防御，达到：盗取账号、窃取资料、篡改文件、破坏数据的目的。
经过360安全中心检验，此文件是木马，建议您立即处理。

扫描引擎：
360云查杀引擎

文件路径：
D:\Downloads\MBRshutdown.exe

文件指纹(MD5)：
a4b9da058369972dc8a211f25a0164ef

ms.dos

EDGE拦截

Nocria

IKARUS

1. Date and Time: 4/5/2021 1:13:39 PM
   
2. File Size: 677.39 kB
   
3. Detection Name: Trojan.Win32.FlyAgent
   
4. Detection-ID: 3550493
   
5. Suggestion: Backup
   
6. File Name: f_0000a1
   
7. Original Path: C:\Users\promi\AppData\Roaming\360se6\User Data\Default\Cache
   

复制代码

BitterLotus

卡巴斯基：
The detection will be added to the next update:
Trojan.Win32.Agent.xahkby

yjwfdc

为了防杀毒软件，这样处理是没用的，编译的时候会自动转为文本的，和直接用“\\.\\physicaldrive0”是一样的，
编译后用记事本打开是这样的。


那些miss的杀软件也是傻
\\.\\physicaldrive0
RtlAdjustPrivilege

NtRaiseHardError

CreateFileA

WriteFile

CloseHandle

加起来，明显是mbr病毒的特征。

wowocock

应该学学那些勒索，开机后给你显示磁盘错误，正在扫描磁盘盘等等，然后直接后台刷垃圾数据进BIOS，然后直接变砖。

NT狼狼

毒霸

00006666

Malware Defender

首先右键管理员运行该程序，Malware Defender发现并阻止修改MBR操作。



该程序尝试关闭虚拟机，Malware Defender弹出拦截窗口，点击阻止后虚拟机蓝屏，但是重启后正常。










@秋日之殇 @hsks Malware Defender都能有效防护的