下午Powershadow被穿透，重灌系统到现在ok，病毒奉上。

z4y4

只是我不明白

1：我开了hips的 加影子，还被穿透

2：此病毒在注册表里添加了启动，但为何没有详细目录路径显示却只有一个文件名？

中病毒后的表面症状为：

A ：一个病毒mmc.exe进程常驻，

B：任务栏管理器打不开

附件样本含：“此病毒的两个exe和一个dll”我不知道有没有逮全

病毒曾试图建sys和drv，曾被拦截，但我判断最终还是没拦截住，因为软件有成功拦截mmc.exe的建立记录，但实际mmc.exe还是产生并运行了。

[ 本帖最后由 z4y4 于 2008-10-10 22:12 编辑 ]

harry4567

沒有上載?看不見

harry4567

紅傘ko
Trojan.psw

Kitman

Begin scan in 'C:\Users\TOSHIBA\Downloads\陔膘恅璃標.rar'
C:\Users\TOSHIBA\Downloads\陔膘恅璃標.rar
    [0] Archive type: RAR
      --> woauolt.exe
          [DETECTION] Is the TR/Spy.Gen Trojan
    --> HBmhly.dll
      [DETECTION] Is the TR/PSW.19968.5 Trojan
      --> mmc.exe
          [DETECTION] This file has been compressed using unusual runtime compression (PCK/UPACK). Please verify the origin of this file.
    [NOTE]      A backup was created as 'a935053c.qua'  ( QUARANTINE )
    [NOTE]      The file was deleted!


End of the scan: 2008年10月11日  00:32
Used time: 00:04 Minute(s)

The scan has been done completely.

      0 Scanning directories
      4 Files were scanned
      3 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      1 files were deleted
      0 files were repaired
      1 files were moved to quarantine
      0 files were renamed
      0 Files cannot be scanned
      1 Files not concerned
      1 Archives were scanned
      0 Warnings
      1 Notes

[ 本帖最后由 Kitman 于 2008-10-11 00:33 编辑 ]

z4y4

刚才附件太大，上传失败，我已重新压缩，现已上传。
哪位帮忙回答偶的问题：“注册表启动为何没有详细启动路径可查”
且此病毒会在C盘根目录建很多随机文件夹，启动病毒的父病毒进程在hips中显示不出来，如下：
2008年10月10日 - 16:28:25 - KanX
- 292490 (840) : File::Write (C:\windows\System32\8882fa1.drv) -> rejected
- 292490 (840) : File::Write (C:\windows\System32\8882fa1.drv) -> rejected
- 292490 (840) : File::Write (C:\windows\System32\8882fa1.drv) -> rejected

请问哪位知道这个- 292490 (840)到底是什么？

2008年10月10日 - 16:27:46 - KanX
- 253995 (308) : File::Write (C:\windows\System32\drivers\HBKernel32.sys) -> rejected
2008年10月10日 - 16:27:51 - KanX
- 253995 (308) : File::Write (C:\windows\System32\System.exe) -> rejected
2008年10月10日 - 16:27:56 - KanX
- Explorer.EXE (1404) : File::Write (C:\WINDOWS\system32\mmc.exe) -> rejected
2008年10月10日 - 16:28:25 - KanX

请问哪位知道这个- 253995 (840)到底是什么？

[ 本帖最后由 z4y4 于 2008-10-10 22:25 编辑 ]

wangjay1980

开HIPS被穿？可能吗？什么HIPS？

2008-10-10 JAY22:18:47        Untreated        Trojan program        Trojan-Downloader.Win32.Small.yaa        High        Exact        C:\Documents and Settings\Owner\桌面\新建文件夹.rar/mmc.exe/PE_Patch/UPack        Postponed        
2008-10-10 JAY22:18:47        Untreated        Trojan program        Trojan-GameThief.Win32.OnLineGames.tnms        High        Exact        C:\Documents and Settings\Owner\桌面\新建文件夹.rar/HBmhly.dll        Postponed        
2008-10-10 JAY22:18:47        Untreated        Trojan program        Trojan-Downloader.Win32.ACVE.al        High        Exact        C:\Documents and Settings\Owner\桌面\新建文件夹.rar/woauolt.exe/FSG        Postponed

harry4567

蝗虫軍團...

z4y4

辛苦写帖子&上传附件，怎么没人回答偶的那个注册表问题。好让偶知道以后怎么防

自从用了powershadow以后被穿了三次，不过偶一直用的是2.6版

tian832

费尔杀啊

欠妳緈諨

Virus check with G DATA AntiVirus
Version 18.7.8155.555
Virus signature dated 10/10/2008
Start time: 10/10/2008 22:35
Engine(s): Engine A (AVK 19.966), Engine B (BD 19.699)
Heuristics: On
Archive: On
System areas: Off

Check the following directories and files:
  S:\新建文件夹\

Object: woauolt.exe
        Path: S:\新建文件夹
        Status: Move file to quarantine
        Virus: Trojan-Downloader.Win32.ACVE.al (Engine A)
Object: HBmhly.dll
        Path: S:\新建文件夹
        Status: Move file to quarantine
        Virus: Trojan-GameThief.Win32.OnLineGames.tnms (Engine A), Generic.PWS.Games.3.5F996A57 (Engine B)
Object: mmc.exe
        Path: S:\新建文件夹
        Status: Move file to quarantine
        Virus: Trojan-Downloader.Win32.Small.yaa (Engine A), DeepScan:Generic.Malware.dld!!.B1014D53 (Engine B)

Analysis performed in full: 10/10/2008 22:35
    3 files checked
    3 infected files detected
    0 suspicious files found

z4y4

请别光查杀，能否告知些行为分析，谢谢！

wei023cn

去行为分析去~  这里只会拿个杀软杀一下……

wmcxdb

试了一个。

甜酸排骨

NIS殺，期待行為分析

laibao

动作很多！
2008.10.11 00:35:54 woauolt.exe  on start from explorer.exe
2008.10.11 00:35:54 woauolt.exe READONLY access to Thunder5.exe (Process)
2008.10.11 00:35:54 woauolt.exe READONLY access to \Device\NamedPipe\wkssvc (File)
2008.10.11 00:35:54 woauolt.exe READONLY access to \Device\NamedPipe\lsass (File)
2008.10.11 00:35:54 rundll32.exe  on start from woauolt.exe
2008.10.11 00:35:54 rundll32.exe DENY access to C:\WINDOWS\system32\drivers\lklosd.sys (File)
2008.10.11 00:35:54 rundll32.exe READONLY access to HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Thunder5.exe (Registry)
2008.10.11 00:35:54 rundll32.exe READONLY access to Thunder5.exe (Process)
2008.10.11 00:35:54 rundll32.exe READONLY access to \Device\NamedPipe\wkssvc (File)
2008.10.11 00:35:54 rundll32.exe READONLY access to \Device\NamedPipe\lsass (File)
2008.10.11 00:35:55 rundll32.exe REDIRECT access to HKU\S-1-5-21-311997385-1181126298-1754022312-500\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\taskkill.exe (Registry)
2008.10.11 00:35:55 taskkill.exe  on start from rundll32.exe
2008.10.11 00:35:55 taskkill.exe READONLY access to \Device\NamedPipe\lsass (File)
2008.10.11 00:35:55 taskkill.exe DENY C0C2 message to explorer.exe (Process)
2008.10.11 00:35:55 taskkill.exe DENY C0C2 message to ctfmon.exe (Process)
2008.10.11 00:35:55 rundll32.exe DENY C0C2 message to explorer.exe (Process)
2008.10.11 00:35:55 rundll32.exe DENY C0C2 message to ctfmon.exe (Process)
2008.10.11 00:36:24 woauolt.exe  on start from woauolt.exe
2008.10.11 00:36:24 woauolt.exe REDIRECT access to HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\361kary (Registry)
2008.10.11 00:36:24 woauolt.exe DENY access to C:\WINDOWS\system32\woauolt.exe (File)
2008.10.11 00:36:24 woauolt.exe DENY access to C:\WINDOWS\system32\woauolt.exe (File)
2008.10.11 00:36:24 cmd.exe  on start from woauolt.exe
2008.10.11 00:36:24 woauolt.exe DENY C0C2 message to explorer.exe (Process)
2008.10.11 00:36:24 woauolt.exe DENY C0C2 message to ctfmon.exe (Process)
2008.10.11 00:36:24 cmd.exe READONLY access to C:\Downloads\癳鷁噀鯪9Y\woauolt.exe (File)

solcroft

原帖由 z4y4 于 2008-10-10 23:40 发表
2：此病毒在注册表里添加了启动，但为何没有详细目录路径显示却只有一个文件名？

因为system.exe的位置是在path所指定的文件夹里，所以不需要输入路径，只需要文件名就可以了

C:\Documents and Settings\Limited User\Desktop\н¨Îļþ¼Ð\HBmhly.dll [L] Win32:Trojan-gen {Other} (0)
C:\Documents and Settings\Limited User\Desktop\н¨Îļþ¼Ð\mmc.exe [L] Win32:Small-LXO [Trj] (0)
C:\Documents and Settings\Limited User\Desktop\н¨Îļþ¼Ð\woauolt.exe [L] Win32:Spyware-gen [Trj] (0)

kingmuro

诺顿10.1杀之

breeze555

穿透性好。。牛B

cool168

瑞星没有发现病毒，看来我要改装其它的杀毒软件了

晒蜡的解药

看来使用 多安全防护电脑安全还是必要的。。。裸奔只适合牛人。。。