云鉴定为安全，但是疑似病毒

显示全部楼层 · 发表于 2011-7-9 17:57:15

过金山卫士，360杀毒 KILL。

显示全部楼层 · 发表于 2011-7-9 18:02:07

本帖最后由 a256886572008 于 2011-7-9 18:10 编辑

http://camas.comodo.com/cgi-bin/submit?file=a56ad94bf8a3d8c32ad94a5c02b29882d9873141c09da4f1bf0ee9b2ca141ca9

• Verdict
Auto Analysis Verdict
Suspicious++

• Description
Suspicious Actions Detected
Copies self to other locations
Deletes self

----------------------------------------------------
看來，金山的雲該加強了

显示全部楼层 · 发表于 2011-7-9 18:16:32

运行样本，传出连接被SEP入侵防护阻止了

[SID: 24145] 已禁止 HTTP Malicious Trojan Request 2 攻击。已禁止此应用程序的通信: \DEVICE\HARDDISKVOLUME1\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\NFSIEHLAQJVYY.EXE

复制代码

显示全部楼层 · 发表于 2011-7-9 18:18:52

本帖最后由 humanlwj52 于 2011-7-9 18:35 编辑

刚才更新了下avast 发现已可查杀

显示全部楼层 · 发表于 2011-7-9 18:20:36

卡巴
检测到威胁: Trojan.Win32.Jorik.Fraud.adb

显示全部楼层 · 发表于 2011-7-9 18:24:24

金山完美解决

显示全部楼层 · 发表于 2011-7-9 18:27:18

Category:
Trojan

Description:
This program is dangerous and executes commands from an attacker.

Advice:
Remove this software immediately.

Resources:
containerfile:
C:\Users\xingzhou\Downloads\NFSIeHLAqJvyy.rar

file:
C:\Users\xingzhou\Downloads\NFSIeHLAqJvyy.rar->NFSIeHLAqJvyy.exe->(UPX)

filelocalcopy:
C:\ProgramData\Microsoft\Windows Defender\LocalCopy\{52337352-210F-4681-90CA-ACBFF3974B5F}-NFSIeHLAqJvyy.rar

webfile:
C:\ProgramData\Microsoft\Windows Defender\LocalCopy\{52337352-210F-4681-90CA-ACBFF3974B5F}-NFSIeHLAqJvyy.rar|http://bbs.kafan.cn/forum.php?mo ... 0ODc1fDEwMjU1MTk%3D

webfile:
C:\Users\xingzhou\Downloads\NFSIeHLAqJvyy.rar|http://bbs.kafan.cn/forum.php?mo ... 0ODc1fDEwMjU1MTk%3D

View more information about this item online

显示全部楼层 · 发表于 2011-7-9 18:29:57

2011-07-09 18:26:33 创建注册表值    操作:使用任务隔离区操作
进程路径:F:\virus\NFSIeHLAqJvyy\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
注册表名称:DisableTaskMgr
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-07-09 18:26:33 创建注册表值    操作:使用任务隔离区操作
进程路径:F:\virus\NFSIeHLAqJvyy\NFSIeHLAqJvyy.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
注册表名称:DisableTaskMgr
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-07-09 18:26:33 创建文件    操作:允许
进程路径:F:\virus\NFSIeHLAqJvyy\NFSIeHLAqJvyy.exe
文件路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*

2011-07-09 18:26:34 运行应用程序    操作:允许
进程路径:F:\virus\NFSIeHLAqJvyy\NFSIeHLAqJvyy.exe
文件路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
触发规则:应用程序规则->自动创建规则->?:\*

2011-07-09 18:26:36 创建注册表值    操作:阻止
进程路径:F:\virus\NFSIeHLAqJvyy\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:NFSIeHLAqJvyy
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2011-07-09 18:26:45 创建注册表值    操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software
注册表名称:75fa38b7-8b94-4995-ad32-52e938867954
触发规则:所有程序规则->其他设置项->HKEY_CURRENT_USER\Software

2011-07-09 18:27:19 修改注册表内容    操作:阻止
进程路径:F:\virus\NFSIeHLAqJvyy\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download
注册表名称:CheckExeSignatures
更改后:no
触发规则:所有程序规则->IE浏览器设置->HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download

2011-07-09 18:27:19 创建注册表值    操作:使用任务隔离区操作
进程路径:F:\virus\NFSIeHLAqJvyy\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments
注册表名称:[Key]
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-07-09 18:27:19 创建注册表值    操作:使用任务隔离区操作
进程路径:F:\virus\NFSIeHLAqJvyy\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations
注册表名称:[Key]
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-07-09 18:27:32 运行应用程序    操作:允许
进程路径:F:\virus\NFSIeHLAqJvyy\NFSIeHLAqJvyy.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Adobe_Flash_Player.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2011-07-09 18:27:35 运行应用程序    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Adobe_Flash_Player.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\javaw.exe
触发规则:应用程序规则->TEMP临时目录->*\Temp\*->*\Temp\*.exe

2011-07-09 18:29:45 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
注册表名称:Hidden
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2011-07-09 18:29:45 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
注册表名称:ShowSuperHidden
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2011-07-09 18:29:45 创建注册表值    操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop
注册表名称:[Key]
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-07-09 18:29:45 创建文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
文件路径:C:\Documents and Settings\Administrator\Recent
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\Administrator\*

2011-07-09 18:29:45 创建文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
文件路径:C:\Documents and Settings\Administrator\Recent
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\Administrator\*

2011-07-09 18:29:46 创建注册表值    操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDesktop
触发规则:所有程序规则->资源管理器->*\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

2011-07-09 18:29:47 删除文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\Windows Catalog.lnk
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\*.lnk

2011-07-09 18:29:49 删除文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\Windows Update.lnk
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\*.lnk

2011-07-09 18:30:00 删除文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\**有线宽带登陆\**有线宽带登陆 on the Web.url
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\*

2011-07-09 18:30:03 删除文件    操作:阻止并结束进程
进程路径:C:\Documents and Settings\All Users\Application Data\NFSIeHLAqJvyy.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\游戏\扫雷.lnk
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\游戏\*

显示全部楼层 · 发表于 2011-7-9 18:36:51

程序：
D:\下载\NFSIEHLAQJVYY\NFSIEHLAQJVYY.EXE
是否删除木马程序及其衍生物?

[病毒样本] 云鉴定为安全，但是疑似病毒

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源