硬盘炸弹 43楼有更新

显示全部楼层 · 发表于 2011-4-27 21:31:25

回复 79楼 TIW 的帖子

不知道这玩意儿是怎样运行开来的，知道的话可以再补一条规则

显示全部楼层 · 发表于 2011-4-27 21:44:46

bighead 发表于 2011-4-27 21:31
回复 79楼 TIW 的帖子

不知道这玩意儿是怎样运行开来的，知道的话可以再补一条规则

我想知道它的所有行为，这样就能看什么地方能阻止了，我看了前几楼，发现它似乎会释放bat文件，不知道是不是关键的一部。

显示全部楼层 · 发表于 2011-4-27 21:45:08

本帖最后由 TIW 于 2011-4-27 21:47 编辑

回复 81楼 bighead 的帖子

看63L
2011-4-25 20:08:37 创建新进程允许
进程: f:\下载\炸弹\炸弹.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c C:\DOCUME~1\d\LOCALS~1\Temp\bt6216.bat "F:\下载\炸弹\炸弹.exe"
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\炸弹\炸弹.exe -> [子应用程序]c:\windows\system32\cmd.exe

貌似平常都会有默认的某个规则拦截访问cmd.exe

显示全部楼层 · 发表于 2011-4-27 21:50:01

回复 83楼 TIW 的帖子

今天光用咖啡规则去试没挡住，不知道HIP 8.0能不能挡住。HIP7.0应用程序监控应该能挡住

显示全部楼层 · 发表于 2011-4-27 21:51:50

金山卫士就拦了

显示全部楼层 · 发表于 2011-4-27 21:53:51

解压的时候小A直接删了

显示全部楼层 · 发表于 2011-4-27 22:18:31

对于43L更新，CIMA报恶意：

显示全部楼层 · 发表于 2011-4-27 22:22:59

某些还原系统没有保护MBR或拦截底层磁盘操作，结果直接无法引导

显示全部楼层 · 发表于 2011-4-27 22:54:34

似乎确实有破坏MBR的代码：

但确实不好找到行为，CIMA对于1L的样本确实不报恶意

显示全部楼层 · 发表于 2011-4-28 08:21:33

回复 8楼 327942278 的帖子

哥们你够狠哈哈

[病毒样本] 硬盘炸弹 43楼有更新

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源