VT Detection ratio: 4 / 44 awt43abr.zip 双截屏木马再现，前赴后继

显示全部楼层 · 发表于 2013-1-5 00:44:36

本帖最后由 firefox3 于 2013-1-5 00:48 编辑

https://www.virustotal.com/file/ ... nalysis/1357317636/

https://www.virustotal.com/file/ ... nalysis/1357317624/

2013-01-05 00:36:55 C:\Program Files\Internet Explorer\iexplore.exe 创建进程, 可疑病毒 C:\Documents and Settings\Administrator\wgsdgsdgdsgsd.exe
2013-01-05 00:37:23 C:\Program Files\Internet Explorer\iexplore.exe 创建进程, 可疑病毒 C:\Documents and Settings\Administrator\wgsdgsdgdsgsd.exe
2013-01-05 00:37:25 C:\Documents and Settings\Administrator\wgsdgsdgdsgsd.exe 直接显示器访问, 可疑病毒
2013-01-05 00:37:44 C:\Program Files\Internet Explorer\iexplore.exe 创建进程 C:\Documents and Settings\Administrator\awt43abr.exe
2013-01-05 00:38:09 C:\Program Files\Internet Explorer\iexplore.exe 创建进程 C:\Documents and Settings\Administrator\awt43abr.exe
2013-01-05 00:38:12 C:\Documents and Settings\Administrator\awt43abr.exe 直接显示器访问
报告结束

显示全部楼层 · 发表于 2013-1-5 00:53:10

GDATA WGSD入库，另一个双击，启动项留了一个，应该是正常的吧

显示全部楼层 · 发表于 2013-1-5 01:04:08

katatlove 发表于 2013-1-5 00:53
GDATA WGSD入库，另一个双击，启动项留了一个，应该是正常的吧

你用XueTr.exe看一下，是不是什么挂在rundll32下面

显示全部楼层 · 发表于 2013-1-5 01:07:22

katatlove 发表于 2013-1-5 00:53
GDATA WGSD入库，另一个双击，启动项留了一个，应该是正常的吧

http://cima.security.comodo.com/ ... b8b67801729f3b1.htm

啟動項就是那個 .nls 文件。

GDATA BM 沒把那註冊表回滾？

如果AV沒報那個啟動文件的話，就........

显示全部楼层 · 发表于 2013-1-5 01:09:39

毛豆真的那么厉害么？这种弹窗对于小白来说几乎没用吧？

显示全部楼层 · 发表于 2013-1-5 01:09:57

a256886572008 发表于 2013-1-5 01:07
http://cima.security.comodo.com/report/73bfc988ae2127ef6fc4fa404b8b67801729f3b1.htm

啟動項就是那 ...

就是藏起来了

CU\Software\Microsoft\Windows\CurrentVersion\Run\Rundll32 REG_SZ 192 "Rundll32.exe "C:\Documents and Settings\User\Application Data\Microsoft\Windows\unicode2.nls",0"

显示全部楼层 · 发表于 2013-1-5 01:11:01

chen月发表于 2013-1-5 01:09
毛豆真的那么厉害么？这种弹窗对于小白来说几乎没用吧？

那你找有用的

显示全部楼层 · 发表于 2013-1-5 01:14:08

firefox3 发表于 2013-1-5 01:11
那你找有用的

怎么看这个程序的确是病毒呢那几个黄色弹窗似乎看不出什么来

显示全部楼层 · 发表于 2013-1-5 01:14:30

firefox3 发表于 2013-1-5 01:04
你用XueTr.exe看一下，是不是什么挂在rundll32下面

C:\Documents and Settings\Administrator\Application Data\Microsoft\Windows\unicode2.nls

那个NLS 被GDATA清除了

显示全部楼层 · 发表于 2013-1-5 01:15:59

katatlove 发表于 2013-1-5 01:14
C:\Documents and Settings\Administrator\Application Data\Microsoft\Windows\unicode2.nls

那个NLS ...

那就是防御成功了，注册表清理一下就好

[可疑文件] VT Detection ratio: 4 / 44 awt43abr.zip 双截屏木马再现，前赴后继

本帖子中包含更多资源

本帖子中包含更多资源