下午Powershadow被穿透，重灌系统到现在ok，病毒奉上。

z4y4

只是我不明白

1：我开了hips的 加影子，还被穿透

2：此病毒在注册表里添加了启动，但为何没有详细目录路径显示却只有一个文件名？

中病毒后的表面症状为：

A ：一个病毒mmc.exe进程常驻，

B：任务栏管理器打不开

附件样本含：“此病毒的两个exe和一个dll”我不知道有没有逮全

病毒曾试图建sys和drv，曾被拦截，但我判断最终还是没拦截住，因为软件有成功拦截mmc.exe的建立记录，但实际mmc.exe还是产生并运行了。

[ 本帖最后由 z4y4 于 2008-10-10 22:12 编辑 ]

harry4567

沒有上載?看不見

harry4567

紅傘ko
Trojan.psw

Kitman

Begin scan in 'C:\Users\TOSHIBA\Downloads\陔膘恅璃標.rar'
C:\Users\TOSHIBA\Downloads\陔膘恅璃標.rar
    [0] Archive type: RAR
      --> woauolt.exe
          [DETECTION] Is the TR/Spy.Gen Trojan
    --> HBmhly.dll
      [DETECTION] Is the TR/PSW.19968.5 Trojan
      --> mmc.exe
          [DETECTION] This file has been compressed using unusual runtime compression (PCK/UPACK). Please verify the origin of this file.
    [NOTE]      A backup was created as 'a935053c.qua'  ( QUARANTINE )
    [NOTE]      The file was deleted!


End of the scan: 2008年10月11日  00:32
Used time: 00:04 Minute(s)

The scan has been done completely.

      0 Scanning directories
      4 Files were scanned
      3 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      1 files were deleted
      0 files were repaired
      1 files were moved to quarantine
      0 files were renamed
      0 Files cannot be scanned
      1 Files not concerned
      1 Archives were scanned
      0 Warnings
      1 Notes

[ 本帖最后由 Kitman 于 2008-10-11 00:33 编辑 ]

z4y4

刚才附件太大，上传失败，我已重新压缩，现已上传。
哪位帮忙回答偶的问题：“注册表启动为何没有详细启动路径可查”
且此病毒会在C盘根目录建很多随机文件夹，启动病毒的父病毒进程在hips中显示不出来，如下：
2008年10月10日 - 16:28:25 - KanX
- 292490 (840) : File::Write (C:\windows\System32\8882fa1.drv) -> rejected
- 292490 (840) : File::Write (C:\windows\System32\8882fa1.drv) -> rejected
- 292490 (840) : File::Write (C:\windows\System32\8882fa1.drv) -> rejected

请问哪位知道这个- 292490 (840)到底是什么？

2008年10月10日 - 16:27:46 - KanX
- 253995 (308) : File::Write (C:\windows\System32\drivers\HBKernel32.sys) -> rejected
2008年10月10日 - 16:27:51 - KanX
- 253995 (308) : File::Write (C:\windows\System32\System.exe) -> rejected
2008年10月10日 - 16:27:56 - KanX
- Explorer.EXE (1404) : File::Write (C:\WINDOWS\system32\mmc.exe) -> rejected
2008年10月10日 - 16:28:25 - KanX

请问哪位知道这个- 253995 (840)到底是什么？

[ 本帖最后由 z4y4 于 2008-10-10 22:25 编辑 ]

wangjay1980

开HIPS被穿？可能吗？什么HIPS？

2008-10-10 JAY22:18:47        Untreated        Trojan program        Trojan-Downloader.Win32.Small.yaa        High        Exact        C:\Documents and Settings\Owner\桌面\新建文件夹.rar/mmc.exe/PE_Patch/UPack        Postponed        
2008-10-10 JAY22:18:47        Untreated        Trojan program        Trojan-GameThief.Win32.OnLineGames.tnms        High        Exact        C:\Documents and Settings\Owner\桌面\新建文件夹.rar/HBmhly.dll        Postponed        
2008-10-10 JAY22:18:47        Untreated        Trojan program        Trojan-Downloader.Win32.ACVE.al        High        Exact        C:\Documents and Settings\Owner\桌面\新建文件夹.rar/woauolt.exe/FSG        Postponed

harry4567

蝗虫軍團...

z4y4

辛苦写帖子&上传附件，怎么没人回答偶的那个注册表问题。好让偶知道以后怎么防

自从用了powershadow以后被穿了三次，不过偶一直用的是2.6版

tian832

费尔杀啊

欠妳緈諨

Virus check with G DATA AntiVirus
Version 18.7.8155.555
Virus signature dated 10/10/2008
Start time: 10/10/2008 22:35
Engine(s): Engine A (AVK 19.966), Engine B (BD 19.699)
Heuristics: On
Archive: On
System areas: Off

Check the following directories and files:
  S:\新建文件夹\

Object: woauolt.exe
        Path: S:\新建文件夹
        Status: Move file to quarantine
        Virus: Trojan-Downloader.Win32.ACVE.al (Engine A)
Object: HBmhly.dll
        Path: S:\新建文件夹
        Status: Move file to quarantine
        Virus: Trojan-GameThief.Win32.OnLineGames.tnms (Engine A), Generic.PWS.Games.3.5F996A57 (Engine B)
Object: mmc.exe
        Path: S:\新建文件夹
        Status: Move file to quarantine
        Virus: Trojan-Downloader.Win32.Small.yaa (Engine A), DeepScan:Generic.Malware.dld!!.B1014D53 (Engine B)

Analysis performed in full: 10/10/2008 22:35
    3 files checked
    3 infected files detected
    0 suspicious files found