木马程序 1X

显示全部楼层 · 发表于 2021-12-12 17:19:20

该样本会在临时目录运行C:\Users\Administrator\AppData\Local\Temp\FPckG\cba61e4ad383e8a8071658547b4712c3.exe，并自我C:\Windows\system32\cba61e4ad383e8a8071658547b4712c3.exe目录，最后会设置挂起的文件重命名操作（在系统重启时进行文件重命名操作，就类似于ARK工具的那一种“重启后删除”的功能）将文件名更改为131462.txt（即C:\Windows\system32\131462.txt目录）

所以，样本没有进行自我删除，不是所谓的“样本自杀”，进程都是还在的，只不过样本自己自身移动了一个路径，并且重启后自动地给重命名掉了

显示全部楼层 · 发表于 2021-12-12 17:35:56

本帖最后由 00006666 于 2021-12-12 17:58 编辑

wwwab 发表于 2021-12-12 17:19
该样本会在临时目录运行C:%users\Administrator\AppData\Local\Temp\FPckG\cba61e4ad383e8a8071658547b4712 ...

应该是自我移动C:\Windows\system32\131462.txt

（该文件名数字为随机名，不同虚拟机运行结果不同）

[病毒样本] 木马程序 1X

本帖子中包含更多资源