朋友机器里弄得病毒

显示全部楼层 · 发表于 2009-8-7 23:54:09

中毒后，屏幕上会有this computer is being attacked的窗口，差不多十秒钟一次，我用XueTr手工查杀，发现
把禁止创建进程禁止创建线程等等全部点完，点击后会自动改回，不会起到作用，后来我把xuetr改了个名才不被改回去。
看来是劫持了。
下面是样本。
谁弄个行为分析更好，我这个机器上没装HIPS，就不测试了

显示全部楼层 · 发表于 2009-8-7 23:57:37

2009/8/7 23:57:17 已清除病毒 Worm.Win32.AutoRun.ajga G:\Temp\Virus\1.rar/新建文件夹\Global.exe
2009/8/7 23:57:17 已清除病毒 Worm.Win32.AutoRun.ajga G:\Temp\Virus\1.rar/新建文件夹\svchost.exe
2009/8/7 23:57:17 已清除病毒 Worm.Win32.AutoRun.ajga G:\Temp\Virus\1.rar/新建文件夹\Default.exe
2009/8/7 23:57:17 已清除病毒 Worm.Win32.AutoRun.ajga G:\Temp\Virus\1.rar/新建文件夹\Fonts.exe

显示全部楼层 · 发表于 2009-8-8 00:04:46

4个文件是同一个。
只能帮你看到生成的东西，那些220KB应该都是同一个了...

[ 本帖最后由 hj5abc 于 2009-8-8 00:06 编辑 ]

显示全部楼层 · 发表于 2009-8-8 00:20:39

费尔清空

显示全部楼层 · 发表于 2009-8-8 00:26:54

瑞星2010

显示全部楼层 · 发表于 2009-8-8 00:36:29

webguard~
红伞直接禁止

显示全部楼层 · 发表于 2009-8-8 00:40:18

ESET:

C:\Documents and Settings\Administrator\桌面\1.rar > RAR > 新建文件夹\autorun.inf - Win32/AutoRun.NAE 病毒
C:\Documents and Settings\Administrator\桌面\1.rar > RAR > 新建文件夹\Global.exe - Win32/AutoRun.ACL 蠕虫
C:\Documents and Settings\Administrator\桌面\1.rar > RAR > 新建文件夹\svchost.exe - Win32/AutoRun.ACL 蠕虫
C:\Documents and Settings\Administrator\桌面\1.rar > RAR > 新建文件夹\Default.exe - Win32/AutoRun.ACL 蠕虫
C:\Documents and Settings\Administrator\桌面\1.rar > RAR > 新建文件夹\Fonts.exe - Win32/AutoRun.ACL 蠕虫

显示全部楼层 · 发表于 2009-8-8 00:45:02

DR.WEB
autorun.inf;C:\Documents and Settings\all\桌面\1\新建文~1;Win32.HLLW.Autoruner.5194;Deleted.;
Default.exe;C:\Documents and Settings\all\桌面\1\新建文~1;Win32.HLLW.Autoruner.1835;Deleted.;
Fonts.exe;C:\Documents and Settings\all\桌面\1\新建文~1;Win32.HLLW.Autoruner.1835;Deleted.;
090806-A-9.exe;C:\Documents and Settings\all\桌面\1\新建文~1;Win32.HLLW.Autoruner.1835;Deleted.;
svchost.exe;C:\Documents and Settings\all\桌面\1\新建文~1;Win32.HLLW.Autoruner.1835;Deleted.;

显示全部楼层 · 发表于 2009-8-8 01:24:30

信息 2009-08-08  01:24:03 本次扫描文件总数:6,发现病毒数:4,清除病毒数:4
病毒 2009-08-08  01:24:02 D:\My Documents\桌面\test\1.rar\新建文件夹\Fonts.exe Worm.AutoRun.225280 处理成功（操作：删除）
病毒 2009-08-08  01:24:02 D:\My Documents\桌面\test\1.rar\新建文件夹\Default.exe Worm.AutoRun.225280 处理成功（操作：删除）
病毒 2009-08-08  01:24:02 D:\My Documents\桌面\test\1.rar\新建文件夹\svchost.exe Worm.AutoRun.225280 处理成功（操作：删除）
病毒 2009-08-08  01:24:02 D:\My Documents\桌面\test\1.rar\新建文件夹\Global.exe Worm.AutoRun.225280 处理成功（操作：删除）
病毒 2009-08-08  01:24:02 D:\My Documents\桌面\test\1.rar 压缩包病毒处理成功（操作：清除）
信息 2009-08-08  01:24:02 扫描病毒木马,清除模式:自动清除

显示全部楼层 · 发表于 2009-8-8 08:18:59

解压后立马隐藏自己·
动作好像是创建什么
2009-08-08 08:16:54 创建文件    操作:阻止并结束进程
进程路径:E:\Data\新建文件夹\Fonts.exe
文件路径:C:\WINDOWS\system32\dllcache\tskmgr.exe
触发规则:所有程序规则->FD:01…系统文件读写规则->%SystemDrive%\*.exe

2009-08-08 08:16:54 创建文件    操作:阻止并结束进程
进程路径:E:\Data\新建文件夹\Fonts.exe
文件路径:C:\WINDOWS\system32\dllcache\tskmgr.exe
触发规则:所有程序规则->FD:01…系统文件读写规则->%SystemDrive%\*.exe

2009-08-08 08:17:00 创建文件    操作:阻止并结束进程
进程路径:E:\Data\新建文件夹\Global.exe
文件路径:C:\WINDOWS\system32\dllcache\tskmgr.exe
触发规则:所有程序规则->FD:01…系统文件读写规则->%SystemDrive%\*.exe

2009-08-08 08:17:00 创建文件    操作:阻止并结束进程
进程路径:E:\Data\新建文件夹\Global.exe
文件路径:C:\WINDOWS\system32\dllcache\tskmgr.exe
触发规则:所有程序规则->FD:01…系统文件读写规则->%SystemDrive%\*.exe

2009-08-08 08:17:03 创建文件    操作:阻止并结束进程
进程路径:E:\Data\新建文件夹\Default.exe
文件路径:C:\WINDOWS\system32\dllcache\tskmgr.exe
触发规则:所有程序规则->FD:01…系统文件读写规则->%SystemDrive%\*.exe

2009-08-08 08:17:03 创建文件    操作:阻止并结束进程
进程路径:E:\Data\新建文件夹\Default.exe
文件路径:C:\WINDOWS\system32\dllcache\tskmgr.exe
触发规则:所有程序规则->FD:01…系统文件读写规则->%SystemDrive%\*.exe

2009-08-08 08:17:03 创建文件    操作:阻止并结束进程
进程路径:E:\Data\新建文件夹\Default.exe
文件路径:C:\WINDOWS\system32\dllcache\tskmgr.exe
触发规则:所有程序规则->FD:01…系统文件读写规则->%SystemDrive%\*.exe

[病毒样本] 朋友机器里弄得病毒

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

金山杀毒

本帖子中包含更多资源