GLM之手

显示全部楼层 · 发表于 2026-9-5 18:42:23

bd主防kill

显示全部楼层 · 发表于 2026-9-5 20:07:41

idefender冰盾多次拦截底层磁盘操作等敏感操作，但是仍然被注销，最后BCD损坏无法启动

显示全部楼层 · 发表于 2026-9-5 20:11:33

Apex One Kill TROJ.Win32.TRX.XXPE50F13035（预测机器学习）

显示全部楼层 · 发表于 2026-9-5 21:02:59

本帖最后由 fdsax 于 2026-9-5 21:44 编辑

emsi双击杀，但重启miss，best入库

显示全部楼层 · 发表于 2026-9-6 07:36:11

lingchenheiye 发表于 2026-9-5 20:07
idefender冰盾多次拦截底层磁盘操作等敏感操作，但是仍然被注销，最后BCD损坏无法启动

只用了内置规则吗

显示全部楼层 · 发表于 2026-9-6 09:33:01

ESSP Generik.DXUSWZU

显示全部楼层 · 发表于 2026-9-6 11:02:56

用冰盾记录一下这个程序的主要攻击行为：

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:41
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\netsh.exe
目标详情: {"Commandline":"netsh advfirewall set allprofiles firewallpolicy blockinbound,blockoutbound","FileDescription":"Network Command Shell","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:41
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\netsh.exe
目标详情: {"Commandline":"netsh interface set interface \"本地连接\" admin=disable","FileDescription":"Network Command Shell","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:41
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\netsh.exe
目标详情: {"Commandline":"netsh interface set interface \"以太网\" admin=disable","FileDescription":"Network Command Shell","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:43
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\netsh.exe
目标详情: {"Commandline":"netsh advfirewall firewall add rule name=\"DEFTest_BlockIn\" dir=in action=block protocol=any","FileDescription":"Network Command Shell","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:43
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\netsh.exe
目标详情: {"Commandline":"netsh advfirewall firewall add rule name=\"DEFTest_BlockOut\" dir=out action=block protocol=any","FileDescription":"Network Command Shell","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:44
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\netsh.exe
目标详情: {"Commandline":"netsh interface ip set dns \"本地连接\" static 0.0.0.0","FileDescription":"Network Command Shell","Signer":"Microsoft Windows"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:44
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{e933b575-6377-45ea-83d1-4b1b679310a6}
目标详情: {"Value":"0.0.0.0","ValueName":"NameServer"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:44
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\netsh.exe
目标详情: {"Commandline":"netsh interface ip set dns \"以太网\" static 0.0.0.0","FileDescription":"Network Command Shell","Signer":"Microsoft Windows"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:45
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DEFTest_SvchostSvc
目标详情: {"Value":"16","ValueName":"Type"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:45
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\sc.exe
目标详情: {"Commandline":"sc create DEFTest_SvchostSvc binPath= \"C:\\Users\\-\\AppData\\Local\\Temp\\DEFTest_svchost.exe\" start= auto displayname= \"Microsoft Windows Service\"","FileDescription":"Service Control Manager Configuration Tool","Signer":"Microsoft Windows"}

行为: 底层磁盘访问
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:45
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: READ_DISK
目标详情: {"Harddisk":"\\Device\\Harddisk0\\DR0"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:45
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\disk
目标详情: {"Value":"4","ValueName":"Start"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:45
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\net.exe
目标详情: {"Commandline":"net user DEFTest_User Test1234! /add","FileDescription":"Net Command","Signer":"Microsoft Windows"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:45
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{4E9DC190-A982-11F1-BE72-000C29BA6626}
目标详情: {"Value":"0.0.0.0","ValueName":"NameServer"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:46
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\partmgr
目标详情: {"Value":"4","ValueName":"Start"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:46
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\net.exe
目标详情: {"Commandline":"net localgroup administrators DEFTest_User /add","FileDescription":"Net Command","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:47
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\sc.exe
目标详情: {"Commandline":"sc description DEFTest_SvchostSvc \"Microsoft Windows Service Host\"","FileDescription":"Service Control Manager Configuration Tool","Signer":"Microsoft Windows"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:48
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\volmgr
目标详情: {"Value":"4","ValueName":"Start"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:48
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users
目标详情: {"Value":"","ValueName":""}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:49
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\Memory Management
目标详情: {"Value":"1","ValueName":"ClearPageFileAtShutdown"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:49
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\net.exe
目标详情: {"Commandline":"net user DEFTest_User && net user DEFTest_NetUser && net user DEFTest_hidden$ && net localgroup administrators","FileDescription":"Net Command","Signer":"Microsoft Windows"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:50
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DEFTest_Svc
目标详情: {"Value":"\\??\\C:\\DEFTest_invalid_path.exe","ValueName":"ImagePath"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:50
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\CrashControl
目标详情: {"Value":"1","ValueName":"AutoReboot"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:50
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users
目标详情: {"Value":"","ValueName":""}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:51
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\net1.exe
目标详情: {"Commandline":"C:\\Windows\\system32\\net1 localgroup administrators DEFTest_hidden$ /add","FileDescription":"Net Command","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:51
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\net.exe
目标详情: {"Commandline":"net localgroup administrators DEFTest_hidden$ /add","FileDescription":"Net Command","Signer":"Microsoft Windows"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:52
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_USERS\S-1-5-21-3381806947-956294220-1309280729-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
目标详情: {"Value":"1","ValueName":"NoControlPanel"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:52
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_USERS\S-1-5-21-3381806947-956294220-1309280729-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
目标详情: {"Value":"1","ValueName":"NoRun"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:52
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_USERS\S-1-5-21-3381806947-956294220-1309280729-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
目标详情: {"Value":"1","ValueName":"NoDesktop"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:53
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\ComputerName\ComputerName
目标详情: {"Value":"DEFTest_PWNED","ValueName":"ComputerName"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:21:58
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
目标详情: {"Value":"\"D:\\infected\\def_behavior_test_v5.exe\"","ValueName":"DEFTest_AutoUpdate"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:00
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
目标详情: {"Value":"C:\\Windows\\system32\\userinit.exe,D:\\infected\\def_behavior_test_v5.exe","ValueName":"Userinit"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:00
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\reg.exe
目标详情: {"Commandline":"reg add \"HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\" /v Userinit /t REG_SZ /d \"C:\\Windows\\system32\\userinit.exe,D:\\infected\\def_behavior_test_v5.exe\" /f","FileDescription":"Registry Console Tool","Signer":"Microsoft Windows"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:00
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_USERS\S-1-5-21-3381806947-956294220-1309280729-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
目标详情: {"Value":"\"D:\\infected\\def_behavior_test_v5.exe\"","ValueName":"DEFTest_AutoUpdate"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:01
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
目标详情: {"Value":"\"D:\\infected\\def_behavior_test_v5.exe\"","ValueName":"DEFTest_AutoUpdate"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:02
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\schtasks.exe
目标详情: {"Commandline":"schtasks /create /tn \"DEFTest_AutoUpdate\" /tr \"D:\\infected\\def_behavior_test_v5.exe\" /sc onstart /ru SYSTEM /rl HIGHEST /f","FileDescription":"Task Scheduler Configuration Tool","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:02
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\sc.exe
目标详情: {"Commandline":"sc description DEFTest_AutoSvc \"DEF Test Auto Update Service\"","FileDescription":"Service Control Manager Configuration Tool","Signer":"Microsoft Windows"}

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:02
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DEFTest_AutoSvc
目标详情: {"Value":"16","ValueName":"Type"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:02
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\sc.exe
目标详情: {"Commandline":"sc create DEFTest_AutoSvc binPath= \"D:\\infected\\def_behavior_test_v5.exe\" start= auto","FileDescription":"Service Control Manager Configuration Tool","Signer":"Microsoft Windows"}

行为: 关闭（重启）系统
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:03
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标:
目标详情:

行为: 设置注册表值
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:03
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: HKEY_USERS\S-1-5-21-3381806947-956294220-1309280729-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Run
目标详情: {"Value":"\"D:\\infected\\def_behavior_test_v5.exe\"","ValueName":"DEFTest_AutoUpdate"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:03
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\schtasks.exe
目标详情: {"Commandline":"schtasks /create /tn \"DEFTest_AutoLogon\" /tr \"D:\\infected\\def_behavior_test_v5.exe\" /sc onlogon /f","FileDescription":"Task Scheduler Configuration Tool","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:04
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\rundll32.exe
目标详情: {"Commandline":"rundll32.exe user32.dll,ExitWindowsEx","FileDescription":"Windows host process (Rundll32)","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:04
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\shutdown.exe
目标详情: {"Commandline":"shutdown /r /t 0 /f","FileDescription":"Windows Shutdown and Annotation Tool","Signer":"Microsoft Windows"}

行为: 创建进程
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:04
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标: C:\Windows\System32\shutdown.exe
目标详情: {"Commandline":"shutdown /r /t 3 /f /c \"DEFTest V5: system rebooting\"","FileDescription":"Windows Shutdown and Annotation Tool","Signer":"Microsoft Windows"}

行为: 关闭（重启）系统
拦截规则: 观察测试 > 记录指定进程的指定事件
响应动作: 记录
拦截时间: 2026-09-06 08:22:04
拦截次数: 1
进程名称: def_behavior_test_v5.exe
进程路径: D:\infected\def_behavior_test_v5.exe
进程命令行: "D:\infected\def_behavior_test_v5.exe"
操作目标:
目标详情:

显示全部楼层 · 发表于 2026-9-6 13:38:24

现在几乎没有纯破坏病毒，所以对这类的特征很少，防不了也很正常，不能完全说明实力

显示全部楼层 · 发表于 2026-9-6 13:46:00

Luna_ovo 发表于 2026-9-6 13:38
现在几乎没有纯破坏病毒，所以对这类的特征很少，防不了也很正常，不能完全说明实力

是这样，这种纯玩具的

显示全部楼层 · 发表于 2026-9-6 15:49:18

ESSP解压

[病毒样本] GLM之手

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源