PLAY-MOVIE.exe

显示全部楼层 · 发表于 2009-1-19 22:06:18

看来是老家伙.. from: lwstats.com

显示全部楼层 · 发表于 2009-1-19 22:09:15

占个楼,ArcaVir竟然查出来了

[Scanning : C:\Test]

C:\Test\PLAY-MOVIE.rar<RAR>:PLAY-MOVIE.exe1 <- Downloader.Agent.Aykk : No action

Scanned objects : 2

Infected objects : 1

[ 本帖最后由 allinwonderi 于 2009-1-19 22:11 编辑 ]

显示全部楼层 · 发表于 2009-1-19 22:09:56

2009/1/19 22:08:00 已清除木马程序 Trojan-Downloader.Win32.Agent.aykk G:\Temp\Virus\PLAY-MOVIE.rar/PLAY-MOVIE.exe1

显示全部楼层 · 发表于 2009-1-19 22:11:00

小a下载过程惨叫

显示全部楼层 · 发表于 2009-1-19 22:13:33

运行后提示联网，永许后就下载木马~~·

显示全部楼层 · 发表于 2009-1-19 22:50:09

Begin scan in 'C:\Documents and Settings\Administrator\桌面\PLAY-MOVIE.rar'
C:\Documents and Settings\Administrator\桌面\PLAY-MOVIE.rar
[0] Archive type: RAR
--> PLAY-MOVIE.exe1
[DETECTION] Is the TR/Dldr.Agent.aykk Trojan
[NOTE] The file was deleted!

显示全部楼层 · 发表于 2009-1-19 23:00:30

显示全部楼层 · 发表于 2009-1-20 08:57:30

C:\Documents and Settings\l\桌面\PLAY-MOVIE.rar > RAR > PLAY-MOVIE.exe1 - 未查明的 NewHeur_PE 病毒

NOD32

显示全部楼层 · 发表于 2009-1-20 09:28:29

DriveSentry:
執行後簡易提示出現,顯示"將要存取受保護的檔案"

.
此時已經有兩位莽夫放行了

.

切換到進階提示.原來是要修改IE設定.攔截它

.

再次執行後,新的社群建議出現了[:26:] .

選擇攔截後,提示將會禁止在系統下產生任何檔案

.

目測系統是乾淨的

.

DriveSentry完美攔截[:27:] .

显示全部楼层 · 发表于 2009-1-20 09:42:23

我們來看看如果放行後會是怎樣

?

放行後紀錄開始出現大量的註冊表修改,主要是針對IE

.

之後看看檔案生成的部分[:26:] .

這隻Dropper還真有趣,會先問使用者是否同意,在下沒測試不同意就是了[:27:] .

大怪獸跑出來囉,當然要阻止它

.

目測IE並沒有出現主頁修改的情形,基本上只要參照DS的紀錄便可以手動清除之前放行的行為

.

DS通常只要一開始攔截,並且使用者阻止的話,之後的行為都會接著被攔截

.

[病毒样本] PLAY-MOVIE.exe

本帖子中包含更多资源

ArcaVir 2008

微点拦截~~~

本帖子中包含更多资源

本帖子中包含更多资源

评分