| 文件名称： | 屌丝一键重装系统V3.9正式版.exe |
| MD5： | 3a5a39de35a66e9efca24af1a13b23b8 |
| 文件类型： | EXE |
| 上传时间： | 2015-06-23 10:52:49 |
| 出品公司： | www.dsonekey.com |
| 版本： | 3.9.0.0---3.9.0.0 |
| 壳或编译器信息： | N/A |
| 行为描述： | 写权限映射文件 |
| 详情信息： | CiceroSharedMemDefaultS-1-5-21-1482476501-1645522239-1417001333-500 \Documents and Settings\Administrator\Local Settings\Application Data\GDIPFONTCACHEV1.DAT MSCTF.MarshalInterface.FileMap.IMJ..LFPGF MSCTF.MarshalInterface.FileMap.IMJ.B.LFPGF MSCTF.MarshalInterface.FileMap.IMJ.C.LFPGF MSCTF.MarshalInterface.FileMap.IMJ.D.LFPGF MSCTF.MarshalInterface.FileMap.IMJ.E.LFPGF MSCTF.MarshalInterface.FileMap.IMJ.F.LGPGF MSCTF.MarshalInterface.FileMap.IMJ.G.LGPGF MSCTF.Shared.SFM.IMJ |
| 行为描述： | 设置特殊文件夹属性 |
| 详情信息： | C:\dsyj |
| 行为描述： | 隐藏指定窗口 |
| 详情信息： | [Window,Class] = [,Afx:400000:b:10011:1900015:0] [Window,Class] = [,Afx:400000:8:10011:1900015:0] [Window,Class] = [,yinyWindow] |
| 行为描述： | 隐藏窗口创建进程 |
| 详情信息： | ImagePath = , CmdLine = c:\dsyj\drive.exe ImagePath = , CmdLine = c:\dsyj\ghost32 -dd ImagePath = , CmdLine = cmd.exe /c c:\dsyj\dstem.temp -a |
| 行为描述： | 创建进程 |
| 详情信息： | ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd.exe /c C:\dsyj\dstem.temp -a |
| 行为描述： | 创建新文件进程 |
| 详情信息： | ImagePath = C:\dsyj\drive.exe, CmdLine = C:\dsyj\drive.exe ImagePath = C:\dsyj\ghost32.exe, CmdLine = C:\dsyj\ghost32 -dd ImagePath = C:\dsyj\dstem.temp, CmdLine = C:\dsyj\dstem.temp -a |
| 行为描述： | 枚举进程 |
| 详情信息： | N/A |
| 行为描述： | 写权限映射文件 |
| 详情信息： | CiceroSharedMemDefaultS-1-5-21-1482476501-1645522239-1417001333-500 \Documents and Settings\Administrator\Local Settings\Application Data\GDIPFONTCACHEV1.DAT MSCTF.MarshalInterface.FileMap.IMJ..LFPGF MSCTF.MarshalInterface.FileMap.IMJ.B.LFPGF MSCTF.MarshalInterface.FileMap.IMJ.C.LFPGF MSCTF.MarshalInterface.FileMap.IMJ.D.LFPGF MSCTF.MarshalInterface.FileMap.IMJ.E.LFPGF MSCTF.MarshalInterface.FileMap.IMJ.F.LGPGF MSCTF.MarshalInterface.FileMap.IMJ.G.LGPGF MSCTF.Shared.SFM.IMJ |
| 行为描述： | 创建可执行文件 |
| 详情信息： | C:\dsyj\bcdedit.exe C:\dsyj\drive.exe C:\dsyj\ghost32.exe C:\dsyj\dstem.temp |
| 行为描述： | 修改文件内容 |
| 详情信息： | C:\dsyj\dsonekey.ini---> Offset = 0 C:\dsyj\ghost32.dmp---> Offset = 128 C:\dsyj\GHSTSTAT.TXT---> Offset = 4096 |
| 行为描述： | 设置特殊文件夹属性 |
| 详情信息： | C:\dsyj |
| 行为描述： | 创建互斥体 |
| 详情信息： | CTF.LBES.MutexDefaultS-1-5-21-1482476501-1645522239-1417001333-500 CTF.Compart.MutexDefaultS-1-5-21-1482476501-1645522239-1417001333-500 CTF.Asm.MutexDefaultS-1-5-21-1482476501-1645522239-1417001333-500 CTF.Layouts.MutexDefaultS-1-5-21-1482476501-1645522239-1417001333-500 CTF.xxx.MutexDefaultS-1-5-21-1482476501-1645522239-1417001333-500 CTF.TimListCache.FMPDefaultS-1-5-21-1482476501-1645522239-1417001333-500MUTEX.DefaultS-1-5-21-1482476501-1645522239-1417001333-500 MSCTF.Shared.MUTEX.AEH SHIMLIB_LOG_MUTEX MSCTF.Shared.MUTEX.IMJ |
| 行为描述： | 隐藏指定窗口 |
| 详情信息： | [Window,Class] = [,Afx:400000:b:10011:1900015:0] [Window,Class] = [,Afx:400000:8:10011:1900015:0] [Window,Class] = [,yinyWindow] |
| 行为描述： | 查找指定窗口 |
| 详情信息： | NtUserFindWindowEx: [Class,Window] = [,] NtUserFindWindowEx: [Class,Window] = [BUTTON,] NtUserFindWindowEx: [Class,Window] = [Edit,] NtUserFindWindowEx: [Class,Window] = [ComboBox,] NtUserFindWindowEx: [Class,Window] = [msctls_trackbar32,] NtUserFindWindowEx: [Class,Window] = [msctls_progress32,] NtUserFindWindowEx: [Class,Window] = [ListBox,] NtUserFindWindowEx: [Class,Window] = [SysListView32,] NtUserFindWindowEx: [Class,Window] = [SysTreeView32,] NtUserFindWindowEx: [Class,Window] = [SysIPAddress32,] NtUserFindWindowEx: [Class,Window] = [SysDateTimePick32,] NtUserFindWindowEx: [Class,Window] = [msctls_updown32,] NtUserFindWindowEx: [Class,Window] = [SysHeader32,] NtUserFindWindowEx: [Class,Window] = [ToolbarWindow32,] NtUserFindWindowEx: [Class,Window] = [Shell_TrayWnd,] |
| 行为描述： | 获取系统权限 |
| 详情信息： | SE_LOAD_DRIVER_PRIVILEGE SE_INC_BASE_PRIORITY_PRIVILEGE |
| 行为描述： | 窗口信息 |
| 详情信息： | Pid = 2752, Hwnd=0x10378, Text = C:\dsyj\ghost32.exe, ClassName = ConsoleWindowClass. Pid = 2500, Hwnd=0x1036c, Text = 正在加载系统中，可能需要一段时间请稍后, ClassName = Afx:400000:b:10011:1900015:0. Pid = 2500, Hwnd=0x10368, Text = 加载系统, ClassName = WTWindow. Pid = 2500, Hwnd=0x2037a, Text = 确定, ClassName = Button. Pid = 2500, Hwnd=0x10380, Text = 读取磁盘分区失败，请重新启动电脑然后再运行软件试试！, ClassName = Static. Pid = 2500, Hwnd=0x9037e, Text = 屌丝提示：读取分区失败！, ClassName = #32770. Pid = 2500, Hwnd=0x20358, Text = 确定, ClassName = Button. Pid = 2500, Hwnd=0x2035c, Text = 运行时出错! 错误信息：无法找到指定DLL库文件“xldl.dll”中的输出命令“XL_UnInit” , ClassName = Static. Pid = 2500, Hwnd=0x20356, Text = 错误, ClassName = #32770. |
| 行为描述： | 直接操作物理设备 |
| 详情信息： | \??\PhysicalDrive0 |
| 行为描述： | 使用SCSI指令读写硬盘 |
| 详情信息： | LBA = 0x2400 SCSIOP = 0x12 LBA = 0x0 SCSIOP = 0x0 LBA = 0x3E00 SCSIOP = 0x12 LBA = 0x2A000000 SCSIOP = 0x5A LBA = 0x2A0000 SCSIOP = 0x46 LBA = 0x2F0000 SCSIOP = 0x46 |