感觉中招了，可是火绒和360都扫描不出木马病毒

安全测评

UNknownOoo 发表于 2024-5-10 18:53

创建傀儡进程cmd，然后注入explorer进行恶意行为，使用冰盾可以直接拦截这些恶意行为。
杀毒软件是基于特征的，很多病毒会特意做免杀，所以一些杀毒软件病毒库更新不及时是没法拦截的，只能等更新，但是HIPS基于行为的无论怎么伪造，都可以拦截。

123fourf

XywCloud 发表于 2024-5-10 11:28
Remcos远控木马

这个是github上下载的，有什么举报之类的途径吗？

wwwab

火绒6.0：

1. 【1】2024-05-10 20:40:03,病毒防护,内存防护,发现病毒Backdoor/Remcos.k, 暂不处理
   
2. 
   
3. 病毒名称：Backdoor/Remcos.k
   
4. 病毒ID：CA6D276341E73D30
   
5. 虚拟地址：0x00000000004D0000
   
6. 映像大小：524KB
   
7. 是否完整映像：是
   
8. 数据流哈希：1242d733
   
9. 操作结果：暂不处理
   
10. 进程ID：1548
    
11. 操作进程：C:\Windows\SysWOW64\explorer.exe
    
12. 操作进程命令行：C:\Windows\SysWOW64\explorer.exe
    
13. 父进程ID：5716
    
14. 父进程：C:\Windows\SysWOW64\cmd.exe
    
15. 父进程命令行：C:\Windows\SysWOW64\cmd.exe
    
16. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
17. 
    
18. 【2】2024-05-10 20:39:30,系统防护,系统加固,svchost.exe触犯文件防护规则, 已阻止
    
19. 
    
20. 防护项目：启动目录
    
21. 目标文件：C:\Users\Serendipity\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svcultra_test.lnk
    
22. 操作结果：已阻止
    
23. 进程ID：1388
    
24. 操作进程：C:\Windows\System32\svchost.exe
    
25. 操作进程命令行：C:\Windows\System32\svchost.exe -k netsvcs -p -s BITS
    
26. 操作进程校验和：445F5F38365AF88EC29B357F4696F0E3EE50A1D8
    
27. 父进程ID：940
    
28. 父进程：C:\Windows\System32\services.exe
    
29. 父进程命令行：C:\Windows\system32\services.exe
    
30. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

复制代码

1. 病毒详情：
   
2. 风险路径：mem://4652-0x3f0d6d73-0x6d0000-C:\Windows\SysWOW64\explorer.exe, 病毒名：Backdoor/Remcos.k, 病毒ID：ca6d276341e73d30, 处理结果：处理失败，SFC进程未处理
   

复制代码

kkfans66

安全测评 发表于 2024-5-10 20:07
创建傀儡进程cmd，然后注入explorer进行恶意行为，使用冰盾可以直接拦截这些恶意行为。
杀毒软件是基于 ...

那我现在机器如何能完全清除这个病毒

scottxzt

kkfans66 发表于 2024-5-10 20:54
那我现在机器如何能完全清除这个病毒

等360，卡巴可以查杀后，再全盘扫描试试。清毒都不是杀软的强项。如果有关键文件被感染还要替换，先备份一下自己电脑里的重要文件吧

biue

kkfans66

scottxzt 发表于 2024-5-10 21:28
等360，卡巴可以查杀后，再全盘扫描试试。清毒都不是杀软的强项。如果有关键文件被感染还要替换，先备份 ...

意思要重做系统了

scottxzt

kkfans66 发表于 2024-5-10 23:13
意思要重做系统了

目前不至于，先删除病毒生成的EXE文件  DLL文件，解决注入explorer的问题（可能需要替换正常文件），这些你在网上查查，之后用卡巴和360卫士查杀，估计你电脑里有其它下载下来的木马。资料还是要备份的，万一在查杀的过程碰到系统蓝屏或者进不了系统，就麻烦了。
我也不是专业人士，只是个业余爱好者，仅供参考。

kkfans66

scottxzt 发表于 2024-5-10 23:55
目前不至于，先删除病毒生成的EXE文件  DLL文件，解决注入explorer的问题（可能需要替换正常文件），这些 ...

好的，那我先试试看

BowenKF

主力机不要随便下载安装软件，先在测试机或虚拟机里跑跑，没办法，不安全啊！