查看: 8291|回复: 46
收起左侧

[病毒样本] 下午Powershadow被穿透,重灌系统到现在ok,病毒奉上。

[复制链接]
z4y4
发表于 2008-10-10 22:10:02 | 显示全部楼层 |阅读模式
只是我不明白

1:我开了hips的 加影子,还被穿透

2:此病毒在注册表里添加了启动,但为何没有详细目录路径显示却只有一个文件名?

中病毒后的表面症状为:

A :一个病毒mmc.exe进程常驻,

B:任务栏管理器打不开

附件样本含:“此病毒的两个exe和一个dll”我不知道有没有逮全

病毒曾试图建sys和drv,曾被拦截,但我判断最终还是没拦截住,因为软件有成功拦截mmc.exe的建立记录,但实际mmc.exe还是产生并运行了。

[ 本帖最后由 z4y4 于 2008-10-10 22:12 编辑 ]

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
harry4567
发表于 2008-10-10 22:11:06 | 显示全部楼层
沒有上載?看不見
harry4567
发表于 2008-10-10 22:14:15 | 显示全部楼层

回复 1楼 z4y4 的帖子

紅傘ko
Trojan.psw
Kitman
发表于 2008-10-10 22:14:15 | 显示全部楼层
Begin scan in 'C:\Users\TOSHIBA\Downloads\陔膘恅璃標.rar'
C:\Users\TOSHIBA\Downloads\陔膘恅璃標.rar
    [0] Archive type: RAR
      --> woauolt.exe
          [DETECTION] Is the TR/Spy.Gen Trojan
    --> HBmhly.dll
      [DETECTION] Is the TR/PSW.19968.5 Trojan
      --> mmc.exe
          [DETECTION] This file has been compressed using unusual runtime compression (PCK/UPACK). Please verify the origin of this file.
    [NOTE]      A backup was created as 'a935053c.qua'  ( QUARANTINE )
    [NOTE]      The file was deleted!


End of the scan: 2008年10月11日  00:32
Used time: 00:04 Minute(s)

The scan has been done completely.

      0 Scanning directories
      4 Files were scanned
      3 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      1 files were deleted
      0 files were repaired
      1 files were moved to quarantine
      0 files were renamed
      0 Files cannot be scanned
      1 Files not concerned
      1 Archives were scanned
      0 Warnings
      1 Notes

[ 本帖最后由 Kitman 于 2008-10-11 00:33 编辑 ]
z4y4
 楼主| 发表于 2008-10-10 22:14:23 | 显示全部楼层

回复 2楼 harry4567 的帖子

刚才附件太大,上传失败,我已重新压缩,现已上传。
哪位帮忙回答偶的问题:“注册表启动为何没有详细启动路径可查”
且此病毒会在C盘根目录建很多随机文件夹,启动病毒的父病毒进程在hips中显示不出来,如下:
2008年10月10日 - 16:28:25 - KanX
- 292490 (840) : File::Write (C:\windows\System32\8882fa1.drv) -> rejected
- 292490 (840) : File::Write (C:\windows\System32\8882fa1.drv) -> rejected
- 292490 (840) : File::Write (C:\windows\System32\8882fa1.drv) -> rejected

请问哪位知道这个- 292490 (840)到底是什么?

2008年10月10日 - 16:27:46 - KanX
- 253995 (308) : File::Write (C:\windows\System32\drivers\HBKernel32.sys) -> rejected
2008年10月10日 - 16:27:51 - KanX
- 253995 (308) : File::Write (C:\windows\System32\System.exe) -> rejected
2008年10月10日 - 16:27:56 - KanX
- Explorer.EXE (1404) : File::Write (C:\WINDOWS\system32\mmc.exe) -> rejected
2008年10月10日 - 16:28:25 - KanX

请问哪位知道这个- 253995 (840)到底是什么?

[ 本帖最后由 z4y4 于 2008-10-10 22:25 编辑 ]
wangjay1980
发表于 2008-10-10 22:19:21 | 显示全部楼层
开HIPS被穿?可能吗?什么HIPS?

2008-10-10 JAY22:18:47        Untreated        Trojan program        Trojan-Downloader.Win32.Small.yaa        High        Exact        C:\Documents and Settings\Owner\桌面\新建文件夹.rar/mmc.exe/PE_Patch/UPack        Postponed        
2008-10-10 JAY22:18:47        Untreated        Trojan program        Trojan-GameThief.Win32.OnLineGames.tnms        High        Exact        C:\Documents and Settings\Owner\桌面\新建文件夹.rar/HBmhly.dll        Postponed        
2008-10-10 JAY22:18:47        Untreated        Trojan program        Trojan-Downloader.Win32.ACVE.al        High        Exact        C:\Documents and Settings\Owner\桌面\新建文件夹.rar/woauolt.exe/FSG        Postponed
harry4567
发表于 2008-10-10 22:25:30 | 显示全部楼层

回复 5楼 z4y4 的帖子

蝗虫軍團...
z4y4
 楼主| 发表于 2008-10-10 22:30:31 | 显示全部楼层
辛苦写帖子&上传附件,怎么没人回答偶的那个注册表问题。好让偶知道以后怎么防

自从用了powershadow以后被穿了三次,不过偶一直用的是2.6版
tian832
发表于 2008-10-10 22:32:39 | 显示全部楼层
费尔杀啊
欠妳緈諨
发表于 2008-10-10 22:35:54 | 显示全部楼层
Virus check with G DATA AntiVirus
Version 18.7.8155.555
Virus signature dated 10/10/2008
Start time: 10/10/2008 22:35
Engine(s): Engine A (AVK 19.966), Engine B (BD 19.699)
Heuristics: On
Archive: On
System areas: Off

Check the following directories and files:
  S:\新建文件夹\

Object: woauolt.exe
        Path: S:\新建文件夹
        Status: Move file to quarantine
        Virus: Trojan-Downloader.Win32.ACVE.al (Engine A)
Object: HBmhly.dll
        Path: S:\新建文件夹
        Status: Move file to quarantine
        Virus: Trojan-GameThief.Win32.OnLineGames.tnms (Engine A), Generic.PWS.Games.3.5F996A57 (Engine B)
Object: mmc.exe
        Path: S:\新建文件夹
        Status: Move file to quarantine
        Virus: Trojan-Downloader.Win32.Small.yaa (Engine A), DeepScan:Generic.Malware.dld!!.B1014D53 (Engine B)

Analysis performed in full: 10/10/2008 22:35
    3 files checked
    3 infected files detected
    0 suspicious files found
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-6-16 04:31 , Processed in 0.140896 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表