从未见过如此阴间之Rootkit

显示全部楼层 · 发表于 2022-4-10 21:10:13

Microsoft Defender
Trojan:Win32/Sabsik.FL.A!ml

显示全部楼层 · 发表于 2022-4-10 21:25:30

瑞星下载就杀了

显示全部楼层 · 发表于 2022-4-10 21:28:49

avast blocked

显示全部楼层 · 发表于 2022-4-11 00:20:11

急救箱需要改名后运行，否则命中规则，直接杀进程，删文件目录。

显示全部楼层 · 发表于 2022-4-11 07:56:08

显示全部楼层 · 发表于 2022-4-11 08:23:16

把病毒注入winlogon.exe后干的骚操作记录得一清二楚

显示全部楼层 · 发表于 2022-4-11 09:50:59

漂洋过海123 发表于 2022-4-11 08:23
唯一一个能跑RootKit的沙箱：https://www.vmray.com/analyses/809be97b5f4f/report/overview.html
...

话说你运行急救箱的时候改名了么，好像没改名会被删除目录文件。

显示全部楼层 · 发表于 2022-4-11 10:10:51

00006666 发表于 2022-4-11 09:50
话说你运行急救箱的时候改名了么，好像没改名会被删除目录文件。

一开始没改发现打不开，后来改了就发现可以打开了……
也没删除啊，就是只是会这样：

显示全部楼层 · 发表于 2022-4-11 11:25:23

wwwab 发表于 2022-4-11 10:10
一开始没改发现打不开，后来改了就发现可以打开了……
也没删除啊，就是只是会这样：

急救箱不改名运行，会被杀进程，及删除文件，可以先运行这个，急救箱运行不了被删除请将我放到其他目录改名运行后再下载使用.exe，再运行急救箱，会先清除木马的进程创建回调。就能正常运行了。

显示全部楼层 · 发表于 2022-4-11 12:41:19

wowocock 发表于 2022-4-11 11:25
急救箱不改名运行，会被杀进程，及删除文件，可以先运行这个，急救箱运行不了被删除请将我放到其他目录改 ...

这个炸别人的回调啊，excited，火绒剑和ydark立刻瞎掉

[病毒样本] 从未见过如此阴间之Rootkit