静默改主页，感染后急救箱都杀不干净

显示全部楼层 · 发表于 2013-7-30 14:56:17

静默改主页，感染后急救箱都杀不干净
样本刚刚收到，已经上报360，估计不会很快有结果

受害用户IE图标无法删除，主页被改2345导航

下载地址
http://yunpan.cn/QnYvPRAk3GNMQ

显示全部楼层 · 发表于 2013-7-30 14:58:28

显示全部楼层 · 发表于 2013-7-30 15:04:55

显示全部楼层 · 发表于 2013-7-30 15:11:06

本帖最后由九尾野狐于 2013-7-30 15:15 编辑

还会修改开始菜单的IE快捷方式

图没截

向C:\Program Files\ewsa写入文件

卤煮可以照着图里修改的注册表自行修改回去

显示全部楼层 · 发表于 2013-7-30 15:12:14

九尾野狐发表于 2013-7-30 15:11

请问一下你开了wd，还有没有开其他的杀毒呢？

显示全部楼层 · 发表于 2013-7-30 15:14:07

360防火墙发表于 2013-7-30 15:12
请问一下你开了wd，还有没有开其他的杀毒呢？

我基本上装杀毒软件都是装来玩的

显示全部楼层 · 发表于 2013-7-30 15:16:03

本帖最后由 Dust-;羅錠于 2013-7-30 15:20 编辑

Dr.Web

EWSA v5.0 简体中文破解版_便携版.exe/msimg32.dll infected with Trojan.Siggen4.10905

含毒文件：

https://www.virustotal.com/zh-cn ... nalysis/1375168767/

显示全部楼层 · 发表于 2013-7-30 15:17:49

木马名称：Trojan.Win32.Pasta.asb

程序：
C:\SANDBOX\ADMINISTRATOR\DEFAULTBOX\DRIVE\C\PROGRAM FILES (X86)\EWSA\MSIMG32.DLL
是木马程序!

请选择处理方式!

显示全部楼层 · 发表于 2013-7-30 15:17:51

本帖最后由 IllusionWing 于 2013-7-30 15:19 编辑

把
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Comdlg32
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel\Homepage

注册键删除。

显示全部楼层 · 发表于 2013-7-30 15:25:50

页面也能提示吗？

[可疑文件] 静默改主页，感染后急救箱都杀不干净

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源