样本1x

wwwab

孤勇者

卡巴斯基拦截网站

UNknownOoo

同源样本分析：https://cn-sec.com/archives/2947649.html



火绒6
扫描: 未检出
运行: 绕过单步主防隐藏执行powershell添加MD排除路径，火绒进程被终止

1. 防护项目：关闭UAC
   
2. 操作类型：修改
   
3. 数据内容：0x00000000 (0)
   
4. 目标注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin
   
5. 操作结果：已允许
   
6. 进程ID：8484
   
7. 操作进程：C:\Users\Public\Videos\fXzoxC\fXzoxC.exe
   
8. 操作进程命令行："C:\Users\Public\Videos\fXzoxC\fXzoxC.exe"
   
9. 父进程ID：10524
   
10. 父进程：C:\Users\Administrator\Desktop\查找.exe
    
11. 父进程命令行："C:\Users\Administrator\Desktop\查找.exe"
    
12. 
    
13. 防护项目：系统目录
    
14. 目标文件：C:\Windows\SysWOW64\drivers\afunprc.sys
    
15. 操作结果：已允许
    
16. 进程ID：8484
    
17. 操作进程：C:\Users\Public\Videos\fXzoxC\fXzoxC.exe
    
18. 操作进程命令行："C:\Users\Public\Videos\fXzoxC\fXzoxC.exe"
    
19. 父进程ID：10524
    
20. 父进程：C:\Users\Administrator\Desktop\查找.exe
    
21. 父进程命令行："C:\Users\Administrator\Desktop\查找.exe"
    
22. 
    
23. 防护项目：服务/驱动配置项
    
24. 操作类型：修改
    
25. 数据内容：\??\C:\Windows\SysWOW64\drivers\afunprc.sys
    
26. 目标注册表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\TCLService\ImagePath
    
27. 操作结果：已允许
    
28. 进程ID：764
    
29. 操作进程：C:\Windows\System32\services.exe
    
30. 操作进程命令行：C:\Windows\system32\services.exe
    
31. 父进程ID：612
    
32. 父进程：C:\Windows\System32\wininit.exe
    
33. 父进程命令行：wininit.exe
    
34. 
    

复制代码

wenshui1013

飞塔扫描Miss

东南大学

CS解压+扫描miss

biue

腾讯电脑管家 1X

1073328164

迈克菲扫描 miss

anxiety520

卡巴KSN显示不信任

莒县小哥

孤勇者

anxiety520 发表于 2024-7-16 13:04
卡巴KSN显示不信任

你这个网站没拦截吗？，我的都拦截了