stacsv.exe

显示全部楼层 · 发表于 2013-6-4 14:52:30

首次发帖，排版较乱，若有不对，还请纠正，谢谢

自己的win7下载一个数据恢复软件时，不小心中毒了，，这个病毒很是强大！！！这是火眼的分析http://fireeye.ijinshan.com/analyse.html?md5=e271d101d20a7b8cb9c2685e51578b5e&sha1=9c85ecbf4c385fca5cf5a522f2c93a0807d966ff#full

这是virscan.org的分析：http://r.virscan.org/report/eb546173ae3533ef4f41d9aeca243803.html
中毒之后第一次开机，某管家提示有未知软件修改启动项。。一看这个软件（stacsv.exe）的文件夹，竟然是C:\Program Files\Common Files\Microsoft Shared,一看软件的签名。咋一看以为是microsoft。。。仔细一看却是冒牌，，，顿时知道自己中毒了，，开始用自己的某顿杀毒，10多秒后电脑突然黑屏关机了！！自己开机之后发现电脑上的几乎所有的exe被windows自带的看图软件关联打开！！多可怕，，也就是说打不开exe文件了，，这还不是最可怕的，可怕的是注册表打不开。资源管理器打不开，任务管理器打不开。。。。神马都打不开。。。而且提示本次操作由于这台计算机限制而被取消,请与您的系统管理员联系。
幸好我是双系统，果断进入win8，用某斯基扫描C盘。竟然木有病毒。。。。上网查阅之后，终于解决了，修复好了自己的win7又经过多番盘查，知道了是PowerDataRecovery的破解版压缩包里的病毒，看火眼分析就知道这个软件的症状了，，
行为描述：释放大文件，常见于病毒躲避云查杀手法
附加信息：
stacsv.exe

给大家分享一下。。。有中这个病毒的孩子也可以问我，告你怎么修复！其实就是用金山的win7.scr以及一个SREngLdr.EXE的软件。以及一些其他软件（不多说了，，有兴趣的孩子自己问我吧）
给大家上传一下这个万恶的病毒吧。供大家分析！由于软件大于2M无法上传附件。。所以传到了网盘 http://pan.baidu.com/share/link?shareid=458713&uk=2804280727

显示全部楼层 · 发表于 2013-6-4 14:57:25

显示全部楼层 · 发表于 2013-6-4 15:03:25

顺便发个多引擎吧
https://www.metascan-online.com/ ... e5f80b78090b12e2675

显示全部楼层 · 发表于 2013-6-4 15:31:57

本帖最后由 3801187 于 2013-6-4 15:51 编辑

2013-6-4 15:27:55 c:\windows\explorer.exe 创建新进程 c:\documents and settings\administrator\桌面\powerdatarecovery\powerdatarecovery\power data recovery 7.0.exe 允许 [应用程序]c:\windows\explorer.exe 命令行: "C:\Documents and Settings\Administrator\桌面\PowerDataRecovery\PowerDataRecovery\Power Data Recovery 7.0.exe"
2013-6-4 15:28:11 c:\documents and settings\administrator\桌面\powerdatarecovery\powerdatarecovery\power data recovery 7.0.exe 底层磁盘写操作 \Device\Ide\IdePort0 允许 [应用程序]*
2013-6-4 15:28:33 c:\documents and settings\administrator\桌面\powerdatarecovery\powerdatarecovery\power data recovery 7.0.exe 创建注册表项 (2) HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3B01E050-0ABB-C2CA-A698-67BD097B0BDC} 阻止 [注册表组]〖询问〗恶意设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
2013-6-4 15:28:39 c:\documents and settings\administrator\桌面\powerdatarecovery\powerdatarecovery\power data recovery 7.0.exe 创建新进程 c:\documents and settings\administrator\桌面\powerdatarecovery\powerdatarecovery\powerdatarecovery.dll 允许 [应用程序]* 命令行: PowerDataRecovery.dll
2013-6-4 15:28:43 c:\documents and settings\administrator\桌面\powerdatarecovery\powerdatarecovery\powerdatarecovery.dll 修改文件 C:\Documents and Settings\Administrator\Local Settings\History\History.IE5\MSHist012013060420130605\index.dat 允许 [文件组]｛全局｝全局规则 -> [文件]?:\*
2013-6-4 15:28:54 c:\documents and settings\administrator\桌面\powerdatarecovery\powerdatarecovery\power data recovery 7.0.exe 创建文件 C:\Program Files\Common Files\Microsoft Shared\stacsv.exe 阻止 [文件组]〖保护〗系统目录 -> [文件]?:\program files\common files\microsoft shared\*

显示全部楼层 · 发表于 2013-6-4 17:10:39

微点入库了，完爆火绒。。。。。。

显示全部楼层 · 发表于 2013-6-4 17:41:55

3801187 发表于 2013-6-4 15:31
2013-6-4 15:27:55 c:\windows\explorer.exe 创建新进程 c:\documents and settings\administrator\桌面\po ...

你这个能打开xuetr而且看到这些，可以说这个病毒你没完全跑来了

显示全部楼层 · 发表于 2013-6-4 17:44:28

vm001 发表于 2013-6-4 17:41
你这个能打开xuetr而且看到这些，可以说这个病毒你没完全跑来了

后边行为太多了

显示全部楼层 · 发表于 2013-6-4 17:45:59

这个是有人去年上传到金山论坛的
http://bbs.duba.net/thread-22621492-1-1.html

显示全部楼层 · 发表于 2013-6-4 17:46:22

3801187 发表于 2013-6-4 17:44
后边行为太多了

看8楼

显示全部楼层 · 发表于 2013-6-4 17:50:43

vm001 发表于 2013-6-4 17:46
看8楼

哈哈，后边的行为超级多呀

[病毒样本] stacsv.exe

本帖子中包含更多资源

本帖子中包含更多资源