过国内两家卫士（现在金山已经入库，360仍报安全）

245867683

金山今天已经能查杀了，但360仍然报安全，昨天晚上我把样本通过邮件上报到360客服去了，至今了无音讯啊，难道360客服今天抽风了？


本来是在沙盘运作的，但不小心关闭了窗口，结果手太快直接双击实机运行了，期间360卫士在运行期间截获木马，但却又没扫出什么，这个是前天才推出来的，求鉴定


http://u.115.com/file/dn6eyacn#Download
qp2011.zip

blue_仰望

1. 2011/7/31 21:59:15        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
   
2. 2011/7/31 21:59:17        e:\test\qp2011(1)\qq密码查看器.exe        读文件        C:\Windows\System32\mdhook.dll        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
   
3. 2011/7/31 21:59:19        e:\test\qp2011(1)\qq密码查看器.exe        读文件        C:\Windows\System32\sechost.dll        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
   
4. 2011/7/31 21:59:20        e:\test\qp2011(1)\qq密码查看器.exe        加载动态链接库        c:\windows\system32\sechost.dll        允许        [应用程序组]询问-动作跟踪 -> [应用程序]e:\test\*       
   
5. 2011/7/31 21:59:23        e:\test\qp2011(1)\qq密码查看器.exe        读文件        C:\Windows\System32\imm32.dll        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
   
6. 2011/7/31 21:59:24        e:\test\qp2011(1)\qq密码查看器.exe        读文件        C:\Windows\System32\imm32.dll        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
   
7. 2011/7/31 21:59:26        e:\test\qp2011(1)\qq密码查看器.exe        读文件        C:\Windows\System32\imm32.dll        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
   
8. 2011/7/31 21:59:28        e:\test\qp2011(1)\qq密码查看器.exe        加载动态链接库        c:\windows\system32\imm32.dll        允许        [应用程序组]询问-动作跟踪 -> [应用程序]e:\test\*       
   
9. 2011/7/31 21:59:32        e:\test\qp2011(1)\qq密码查看器.exe        创建文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
   
10. 2011/7/31 21:59:32        d:\program files\netease\网易闪电邮\flashmail.exe        修改文件        D:\Program Files\Netease\网易闪电邮\account\luoning528@gmail.com\CrashMail        允许        [应用程序组]程序-联网程序 -> [应用程序]d:\program files\netease\网易闪电邮\flashmail.exe -> [文件]d:\program files\netease\网易闪电邮\*       
    
11. 2011/7/31 21:59:35        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
12. 2011/7/31 21:59:37        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
13. 2011/7/31 21:59:41        e:\test\qp2011(1)\qq密码查看器.exe        设置文件夹隐藏属性        E:\test\qp2011(1)\Exe_yc9        阻止        [应用程序组]询问-动作跟踪 -> [文件]*       
    
14. 2011/7/31 21:59:48        e:\test\qp2011(1)\qq密码查看器.exe        创建文件        E:\test\qp2011(1)\Exe_yc9\krnln.fnr        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
15. 2011/7/31 21:59:51        e:\test\qp2011(1)\qq密码查看器.exe        读文件        E:\test\qp2011(1)\Exe_yc9\krnln.fnr        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
16. 2011/7/31 21:59:54        e:\test\qp2011(1)\qq密码查看器.exe        创建文件        E:\test\qp2011(1)\Exe_yc9\iext.fnr        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
17. 2011/7/31 21:59:57        e:\test\qp2011(1)\qq密码查看器.exe        读文件        E:\test\qp2011(1)\Exe_yc9\iext.fnr        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
18. 2011/7/31 22:00:00        e:\test\qp2011(1)\qq密码查看器.exe        创建文件        E:\test\qp2011(1)\Exe_yc9\HtmlView.fne        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
19. 2011/7/31 22:00:02        e:\test\qp2011(1)\qq密码查看器.exe        读文件        E:\test\qp2011(1)\Exe_yc9\HtmlView.fne        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
20. 2011/7/31 22:00:05        e:\test\qp2011(1)\qq密码查看器.exe        创建文件        E:\test\qp2011(1)\Exe_yc9\spec.fne        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
21. 2011/7/31 22:00:08        e:\test\qp2011(1)\qq密码查看器.exe        读文件        E:\test\qp2011(1)\Exe_yc9\spec.fne        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
22. 2011/7/31 22:00:11        e:\test\qp2011(1)\qq密码查看器.exe        创建文件        E:\test\qp2011(1)\Exe_yc9\mezqq.exe        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
23. 2011/7/31 22:00:13        e:\test\qp2011(1)\qq密码查看器.exe        读文件        E:\test\qp2011(1)\Exe_yc9\mezqq.exe        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
24. 2011/7/31 22:00:18        e:\test\qp2011(1)\qq密码查看器.exe        创建新进程        e:\test\qp2011(1)\exe_yc9\mezqq.exe        阻止        [应用程序组]询问-动作跟踪 -> [应用程序]e:\test\*        命令行: E:\test\qp2011(1)\Exe_yc9\mezqq.exe
    
25. 2011/7/31 22:00:20        e:\test\qp2011(1)\qq密码查看器.exe        读文件        E:\test\qp2011(1)\Exe_yc9\mezqq.exe        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
26. 2011/7/31 22:00:22        e:\test\qp2011(1)\qq密码查看器.exe        读文件        E:\test\qp2011(1)\Exe_yc9\mezqq.exe        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
27. 2011/7/31 22:00:24        e:\test\qp2011(1)\qq密码查看器.exe        读文件        E:\test\qp2011(1)\Exe_yc9\mezqq.exe        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
28. 2011/7/31 22:00:26        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
29. 2011/7/31 22:00:28        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
30. 2011/7/31 22:00:30        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
31. 2011/7/31 22:00:32        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
32. 2011/7/31 22:00:35        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
33. 2011/7/31 22:00:37        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
34. 2011/7/31 22:00:38        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
35. 2011/7/31 22:00:39        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
36. 2011/7/31 22:00:46        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
37. 2011/7/31 22:00:47        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
38. 2011/7/31 22:00:49        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
39. 2011/7/31 22:00:52        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
40. 2011/7/31 22:00:55        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:        阻止        [应用程序组]询问-动作跟踪 -> [文件]*       
    
41. 2011/7/31 22:01:00        e:\test\qp2011(1)\qq密码查看器.exe        读文件        C:\Windows\System32\apphelp.dll        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
42. 2011/7/31 22:01:02        e:\test\qp2011(1)\qq密码查看器.exe        加载动态链接库        c:\windows\system32\apphelp.dll        允许        [应用程序组]询问-动作跟踪 -> [应用程序]e:\test\*       
    
43. 2011/7/31 22:01:05        e:\test\qp2011(1)\qq密码查看器.exe        读文件        C:\Windows\AppPatch\sysmain.sdb        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
44. 2011/7/31 22:01:07        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
45. 2011/7/31 22:01:10        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
46. 2011/7/31 22:01:12        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
47. 2011/7/31 22:01:15        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
48. 2011/7/31 22:01:18        e:\test\qp2011(1)\qq密码查看器.exe        读文件夹        E:\test\qp2011(1)\Exe_yc9        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    
49. 2011/7/31 22:01:21        e:\test\qp2011(1)\qq密码查看器.exe        读文件        E:\test\qp2011(1)\Exe_yc9\mezqq.exe        允许        [应用程序组]询问-动作跟踪 -> [文件]*       
    

复制代码

红伞报安全，已上报。

生成物

生成物也是可执行文件，吃饭去了，未测试，等待测试结果。
说明下，第10条，请各位大大忽略……

求解释，他从内层文件夹读到外层，最后读到根文件夹，这是在干嘛？

245867683

lniwn 发表于 2011-7-31 21:52
占楼，下载测试。

注意了，别实机测试，我就不小心双击了一下，目前正在查找异常处

blue_仰望

245867683 发表于 2011-7-31 21:55
注意了，别实机测试，我就不小心双击了一下，目前正在查找异常处

可是偶一没有沙盘，二没有虚拟机……

WeeVee

2楼生成物

245867683

WeeVee 发表于 2011-7-31 22:08

bd也有行为分析了？之前我还以为它是以库文明的

qzmxy2006

avg idpmiss

WeeVee

245867683 发表于 2011-7-31 22:13
bd也有行为分析了？之前我还以为它是以库文明的

有主防。
没主防的杀软我不敢用

blue_仰望

qzmxy2006 发表于 2011-7-31 22:15
avg idpmiss

乃沙盘运行的？

qzmxy2006

lniwn 发表于 2011-7-31 22:48
乃沙盘运行的？

嗯