RAT (4/19) x1

显示全部楼层 · 发表于 2022-4-20 18:56:46

改了哈希后过了KART的Bazon报法，然后过了一会诺顿弹出防火墙警报（尽管默认是允许

显示全部楼层 · 发表于 2022-4-20 18:59:41

wwwab 发表于 2022-4-20 18:50
不是病毒差点儿遍历你的文件上传了吗，被那个破杀软拦下来了

xd，没看清帖子欸

显示全部楼层 · 发表于 2022-4-20 19:06:29

anxiety520 发表于 2022-4-20 18:52
我测试了一下，HIPS记录到了一堆事件，怎么你这边只有改注册表一样呢？

截图看看你的事件

显示全部楼层 · 发表于 2022-4-20 19:15:18

本帖最后由 Jirehlov1234 于 2022-4-20 19:36 编辑

anthonyqian 发表于 2022-4-20 18:56
改了哈希后过了KART的Bazon报法，然后过了一会诺顿弹出防火墙警报（尽管默认是允许

简单的overlay过不了vho，加了upx才过。
开满hips后触发pdm和mem杀，日志在高级清除后附上
PDM:Trojan.Win32.Generic
MEM:Trojan.Win32.Cometer.gen
MEM:Trojan.Win32.SEPEM.gen

显示全部楼层 · 发表于 2022-4-20 19:44:16

1159614431 发表于 2022-4-20 19:06
截图看看你的事件

截不动了，，，事件特别多，（当然我就算把PDM什么的都关掉也没有触发关机行为

显示全部楼层 · 发表于 2022-4-20 19:56:44

Jirehlov1234 发表于 2022-4-20 19:15
简单的overlay过不了vho，加了upx才过。
开满hips后触发pdm和mem杀，日志在高级清除后附上
PDM:Trojan. ...

加了UPX的那个文件发出来下

显示全部楼层 · 发表于 2022-4-20 19:59:42

1159614431 发表于 2022-4-20 19:56
加了UPX的那个文件发出来下

显示全部楼层 · 发表于 2022-4-20 20:03:08

MISS，应该是改了一堆东西后ATD终于有动作了，杀了后系统自动重启，进程消失，不知道回滚了没有，ATD杀了之后系统用着暂时没问题。

显示全部楼层 · 发表于 2022-4-20 20:05:31

本帖最后由 1159614431 于 2022-4-20 20:08 编辑

Jirehlov1234 发表于 2022-4-20 19:59

只弹了这个

显示全部楼层 · 发表于 2022-4-20 20:14:37

1159614431 发表于 2022-4-20 20:05
只弹了这个

全开询问就可以了

如果开了询问但是没有询问，说明你当前session曾经被设定过放行，重启电脑即可

[病毒样本] RAT (4/19) x1