黑人抬棺病毒？危！

显示全部楼层 · 发表于 2022-11-18 10:57:53

这是一个病毒文件，好像是通过后门释放到电脑上的

会删除大部分的电脑文件，请在安全环境下解压！

我电脑是在开启火绒的状态下，于今天凌晨0点被释放了此病毒

当我早上回到电脑前，发现桌面文件全部消失，磁盘文件也消失了很多

桌面上只剩回收站和这个黑人抬棺病毒，最关键的是我的项目文件也没有了

不知道文件是只被删除了还是被对方拷贝走了

火绒已经被关闭，安装文件已经损坏

由于我还在试图恢复我的文件，所以没有运行这个病毒做测试

希望有大手子出手分析一下！

请注意在安全模式下解压！请注意在安全模式下解压！请注意在安全模式下解压！

解压密码：zheshibingdu

链接：https://pan.baidu.com/s/14LPItzW7ccwO04XNiObOEQ
提取码：52pj

下图是我重新安装火绒并解除病毒运行状态后被查杀的检测图

显示全部楼层 · 发表于 2022-11-18 12:11:58

本帖最后由阴阳怪气老妖精于 2022-11-18 12:15 编辑

重新安装火绒，显示病毒被查杀

从图上可以看到SgrmBroker进程应该是被劫持或者顶替了

于是打开火绒剑分析这个进程
发现指向了两个IP地址

现在都用国内服务器来部署病毒了么....

有没有大手子能根据这俩IP地址进一步检索嘛？

附上被替换的SgrmBroker文件

请注意在安全模式下解压！请注意在安全模式下解压！请注意在安全模式下解压！

解压密码：zheshibingdu

链接：https://pan.baidu.com/s/1K5nuOS8I_3YwlXzCj1PX2A
提取码：52pj

https://zhiguyo.lanzouv.com/b027y118j
密码:2iws

显示全部楼层 · 发表于 2022-11-18 11:04:27

https://wwm.lanzoul.com/ic8qk0g6q80h

显示全部楼层 · 发表于 2022-11-18 11:06:23

本帖最后由对对对对于 2022-11-18 11:38 编辑

WannaRen???多老的毒了无法运行
52pj??

显示全部楼层 · 发表于 2022-11-18 11:15:06

本帖最后由秋日之殇于 2022-11-18 11:17 编辑

样本已损坏，无法运行，无效样本

显示全部楼层 · 发表于 2022-11-18 11:15:52

本帖最后由 123456aaaafsdeg 于 2022-11-18 11:25 编辑

BD拦截，另外看这个报法像是RootKit复制者？

待我分析一波...

无效样本，无法执行

显示全部楼层 · 发表于 2022-11-18 11:22:39

秋日之殇发表于 2022-11-18 11:15
样本已损坏，无法运行，无效样本

是不是这个，https://bbs.kafan.cn/thread-2226830-1-1.html

显示全部楼层 · 发表于 2022-11-18 11:28:27

123456aaaafsdeg 发表于 2022-11-18 11:22
是不是这个，https://bbs.kafan.cn/thread-2226830-1-1.html

不是吧

显示全部楼层 · 发表于 2022-11-18 12:16:40

123456aaaafsdeg 发表于 2022-11-18 11:22
是不是这个，https://bbs.kafan.cn/thread-2226830-1-1.html

应该不是，这个文件我是从火绒查杀记录中提取出来的，事发以后我重新安装了火绒，目前在恢复文件中...

上帝保佑我的文件能顺利恢复

显示全部楼层 · 发表于 2022-11-18 12:17:52

秋日之殇发表于 2022-11-18 11:15
样本已损坏，无法运行，无效样本

回复区置顶帖更新了我的分析结果，找到了两个ip地址

目前已经把病毒样本和记录都发给火绒实验室了，同文在52pj上也有发布

上帝保佑我能顺利恢复文件

[病毒样本] 黑人抬棺病毒？危！

本帖子中包含更多资源

本帖子中包含更多资源

评分