今日在纸飞机收到病毒

显示全部楼层 · 发表于 2021-5-3 16:56:34

ESET

显示全部楼层 · 发表于 2021-5-3 16:57:35

dongwenqi 发表于 2021-5-3 16:51
卡巴斯基系统监控报法

帮忙上报一下，双击后才发现是病毒，避免也太晚了

显示全部楼层 · 发表于 2021-5-3 17:01:42

allance 发表于 2021-5-3 16:57
帮忙上报一下，双击后才发现是病毒，避免也太晚了

不要紧的，双击，卡巴斯基会云拉黑的

显示全部楼层 · 发表于 2021-5-3 17:02:33

wwwab 发表于 2021-5-3 16:56
病毒在运行后下载了两张图片，分别为：kb.jpg和TY.png

其中：kb.jpg貌似没有发现什么问题，vt全绿；而那 ...

这后门能完全清除吗？
HEUR:Backdoor.Win32.Farfli.gen，重启全盘扫描后视乎不行

显示全部楼层 · 发表于 2021-5-3 17:08:06

dongwenqi 发表于 2021-5-3 17:01
不要紧的，双击，卡巴斯基会云拉黑的

没这么简单，重启电脑全盘扫描后，宾度继续监控程序

显示全部楼层 · 发表于 2021-5-3 17:10:14

BEST双击杀
进程路径: C:\Users\ljsjo\Desktop\3号银行卡流水报表\0银行卡流水报表.exe. 威胁名称: ATC.SuspiciousBehavior.A890B472347A180F.

显示全部楼层 · 发表于 2021-5-3 17:13:13

wwwab 发表于 2021-5-3 16:56
病毒在运行后下载了两张图片，分别为：kb.jpg和TY.png

其中：kb.jpg貌似没有发现什么问题，vt全绿；而那 ...

kb.jpg修改为exe后貌似也能运行，但是没发现有什么可疑行为

显示全部楼层 · 发表于 2021-5-3 17:20:06

应该是个远控木马

2021/5/3 17:04:43 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
命令行: "C:\Users\jdsh\Desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe"
规则: [应用程序]*

2021/5/3 17:04:44 修改文件允许
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: C:\Users\jdsh\AppData\Local\Temp\BZYTY.png
规则: [文件]*

2021/5/3 17:04:45 修改文件 (2) 允许
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: C:\Users\jdsh\AppData\Local\Temp\TY.png
规则: [文件]*

2021/5/3 17:04:46 修改文件允许
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: C:\Users\jdsh\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat
规则: [文件]*

2021/5/3 17:04:47 访问网络允许
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: TCP [本机 : 55326] ->  [43.128.48.109 : 99]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2021/5/3 17:04:47 修改文件允许
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: C:\$MSIRecycle.Bin\kb.jpg
规则: [文件]*

2021/5/3 17:04:51 访问网络允许
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: TCP [本机 : 55327] ->  [106.110.28.221 : 1528]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2021/5/3 17:06:05 访问网络允许
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: TCP [本机 : 55333] ->  [106.110.28.221 : 1528]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2021/5/3 17:06:17 底层键盘操作 (2) 阻止
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
规则: [应用程序]*

2021/5/3 17:06:19 访问网络允许
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: TCP [本机 : 55352] ->  [106.110.28.221 : 1528]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2021/5/3 17:06:21 访问网络允许
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: TCP [本机 : 55353] ->  [106.110.28.221 : 1528]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2021/5/3 17:06:57 删除文件 (2) 阻止
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: C:\Users\jdsh\Desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2021/5/3 17:07:03 删除文件阻止
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
目标: C:\Users\jdsh\Desktop\病毒样本\3号银行卡流水报表.7z
规则: [文件]*

2021/5/3 17:07:28 注销、关机或重新启动系统阻止
进程: c:\users\jdsh\desktop\病毒样本\3号银行卡流水报表\0银行卡流水报表.exe
规则: [应用程序]*

显示全部楼层 · 发表于 2021-5-3 17:21:20

allance 发表于 2021-5-3 17:08
没这么简单，重启电脑全盘扫描后，宾度继续监控程序

这没看出啥问题啊

显示全部楼层 · 发表于 2021-5-3 17:33:40

jdsh 发表于 2021-5-3 17:20
应该是个远控木马

2021/5/3 17:04:43 创建新进程允许

你是用什么测的？挺完整的，真可惜卡巴不报

[可疑文件] 今日在纸飞机收到病毒

本帖子中包含更多资源

本帖子中包含更多资源