hxxp://tompedurante.com/d.php?f=18&e=6j

a256886572008

2011-08-28 14:16:52   C:\Documents and Settings\Roger\桌面\virus\clickme\readme.exe   Sandboxed As   Partially Limited   

2011-08-28 14:16:58   C:\Documents and Settings\Roger\桌面\virus\clickme\readme.exe   Modify File   C:\Documents and Settings\Roger\Local Settings\Temp\gcfscqcqfprfsmnc.exe   

2011-08-28 14:17:02   C:\DOCUME~1\Roger\LOCALS~1\Temp\gcfscqcqfprfsmnc.exe   Sandboxed As   Partially Limited   

2011-08-28 14:17:07   C:\Documents and Settings\Roger\Local Settings\Temp\gcfscqcqfprfsmnc.exe   Modify Key   HKLM\SYSTEM\ControlSet001\Services\Micorsoft Windows Service   

jayavira

运行等待一分钟，idp也没有反应
miss

bbs2811125

ESET拦截，潜在不受欢迎程序变种

hddu

2011-08-28 15:11:53    运行应用程序      操作:允许
进程路径:F:\virus\readme\readme.exe
文件路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-28 15:12:13    运行应用程序      操作:允许
进程路径:F:\virus\readme\readme.exe
文件路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-28 15:12:28    运行应用程序      操作:允许
进程路径:F:\virus\readme\readme.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lsnugusatoodulka.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*


2011-08-28 15:12:29    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Micorsoft Windows Service
注册表名称:Start
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2011-08-28 15:12:29    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Micorsoft Windows Service
注册表名称:ImagePath
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2011-08-28 15:12:29    加载驱动程序      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
驱动路径:C:\Documents and Settings\Administrator\Local Settings\Temp\byqhdekf.sys
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->?:\Documents and Settings\*\Local Settings\Temp\*

萧剑

留侯

过大蜘蛛，文件加了壳：
readme.exe packed by PESTUB
readme.exe packed by FLY-CODE
已上报！

瓜皮猫

bbs2811125 发表于 2011-8-28 14:52
ESET拦截，潜在不受欢迎程序变种

网页拦截的吧
本地扫描未报
to eset

[/quote]
[quote]Dear 微亿毫,

Thank you for your submission.
The detection for this threat will be included in our next signature update.

Regards,

Witold Gerstendorf
Lead Malware Researcher
Malware Response Team Lead
ESET spol. s r.o.

rasis

金山杀

bbs2811125

三生缘石 发表于 2011-8-28 15:57
网页拦截的吧
本地扫描未报
to eset

嗯，我的拦截指的就是网页防护报的

瓜皮猫

bbs2811125 发表于 2011-8-28 16:02
嗯，我的拦截指的就是网页防护报的

猜到了。
强大的web启发。。