过微点主防，高手帮忙分析下

红烧大馋豆

运行，微点主防没反应
小A报




VirSCAN.org Scanned Report :
Scanned time   : 2009/12/29 22:53:18 (CST)
Scanner results: 57%的杀软(21/37)报告发现病毒
File Name      : Setup.exe
File Size      : 562176 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : 496671b7943226b4ae349ac413383af9
SHA1           : 686cf0dd368572fe957f294f4eee8c10a5fd4b19
Online report  : http://virscan.org/report/f84c6786b02ed5ed446857becf7f36d3.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.8         20091229200148    2009-12-29  40.13  -
安博士V3       2009.12.30.00   2009.12.30        2009-12-30  40.13  -
AntiVir        8.2.1.122       7.10.2.86         2009-12-29  0.39   TR/Delf.96620
安天           2.0.18          20091229.3546430  2009-12-29  0.12   Backdoor/Win32.Hupigon.ceuf
Arcavir        2009            200912291044      2009-12-29  0.12   Trojan.Delf.Hxj
Authentium     5.1.1           200912290137      2009-12-29  1.30   W32/Dropper.TCK (Exact)
AVAST!         4.7.4           091227-2          2009-12-27  0.07   Win32:Agent-ACTQ [Trj]
AVG            8.5.288         270.14.123/2592   2009-12-29  0.31   Delf.EQK
BitDefender    7.81008.4793797 7.29660           2009-12-29  4.16   Backdoor.Delf.HON
CA (VET)       35.1.0          7202              2009-12-28  40.13  -
ClamAV         0.95.2          10235             2009-12-29  0.01   Trojan.Delf-4969
Comodo         3.13            3403              2009-12-29  40.12  -
CP Secure      1.3.0.5         2009.12.29        2009-12-29  0.07   Troj.W32.Delf.va
Dr.Web         4.44.0.9170     2009.12.29        2009-12-29  8.08   Trojan.MulDrop.15000
F-Prot         4.4.4.56        20091228          2009-12-28  1.22   W32/Dropper.TCK (exact, dropper)
F-Secure       7.02.73807      2009.12.29.13     2009-12-29  0.09   Trojan-Dropper.Win32.Agent.qqw [AVP]
飞塔           11.320-         11.320            2009-12-29  40.13  -
GData          19.9600/19.650  20091229          2009-12-29  40.12  -
ViRobot        20091229        2009.12.29        2009-12-29  40.12  -
Ikarus         T3.1.01.79      2009.12.29.74853  2009-12-29  4.17   Virus.Win32.Delf.FZI
江民杀毒       13.0.900        2009.12.29        2009-12-29  40.13  -
卡巴斯基       5.5.10          2009.12.29        2009-12-29  0.04   Trojan-Dropper.Win32.Agent.qqw
金山毒霸       2009.2.5.15     2009.12.29.14     2009-12-29  40.12  -
迈克菲         5.3.00          5845              2009-12-28  3.34   BackDoor-DNO
Microsoft      1.5302          2009.12.29        2009-12-29  40.12  -
Norman         6.01.09         6.01.00           2009-12-28  4.00   W32/Hupigon.HNDZ
熊猫卫士       9.05.01         2009.12.28        2009-12-28  43.12  -
趋势科技       9.000-1003      6.730.06          2009-12-29  0.05   BKDR_DELF.PAM
Quick Heal     10.00           2009.12.29        2009-12-29  40.13  -
瑞星           20.0            22.28.01.03       2009-12-29  40.13  -
Sophos         3.03.0          4.49              2009-12-29  2.96   Mal/Delf-G
Sunbelt        3.9.2388.2      5586              2009-12-28  43.13  -
赛门铁克       1.3.0.24        20091228.004      2009-12-28  0.32   Backdoor.Hupigeon
nProtect       20091229.02     6737157           2009-12-29  40.14  -
The Hacker     6.5.0.3         v00116            2009-12-28  40.13  -
VBA32          3.12.12.1       20091228.0950     2009-12-28  2.26   Trojan-Dropper.Win32.Agent.qqw
VirusBuster    4.5.11.10       10.118.12/2003946 2009-12-28  2.33   Trojan.DR.Agent.PACM

IllusionWing

\Windows\System32下生成netSense文件
为PE，暂时无进一步动作。

username

2009-12-29 23:33:35    创建注册表项    阻止
进程: d:\emule\setup\setup.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetSense
规则: [注册表组]系统服务 -> [注册表]*\SYSTEM\*controlset*\Services\*

shmily512099

扫描报heiying后门程序，等等再看看主防了！

taoyuan237

00404BB4  |.  68 2C4C4000   push    00404C2C                         ;  ASCII " /c del """

00405108  |.  BA D8524000   |mov     edx, 004052D8                   ;  ASCII "svchost.exe -k netsvcs"

00405176  |.  BA F8524000   |mov     edx, 004052F8                   ;  ASCII "SYSTEM\ControlSet001\Services\"


004051BB  |.  68 F8524000   |push    004052F8                        ;  ASCII "SYSTEM\ControlSet001\Services\"
004051C0  |.  FF33          |push    dword ptr [ebx]
004051C2  |.  68 34534000   |push    00405334                        ;  ASCII "\Parameters"

00402C47   .  50            push    eax                              ; /pHandle
00402C48   .  6A 01         push    1                                ; |Access = KEY_QUERY_VALUE
00402C4A   .  6A 00         push    0                                ; |Reserved = 0
00402C4C   .  68 CC2C4000   push    00402CCC                         ; |Subkey = "SOFTWARE\Borland\Delphi\RTL"
00402C51   .  68 02000080   push    80000002                         ; |hKey = HKEY_LOCAL_MACHINE

kaba2

2009-12-29 23:33:35    创建注册表项    阻止
进程: d:\emule\setup\setup.exe
目标: HKEY_LOCAL_MACHIN ...
username 发表于 2009-12-29 23:33

       难道这个东西要加载驱动？我看看…

fatezero

KIS2010
木马程序 Trojan-Dropper.Win32.Agent.qqw        E:\download\Setup.rar/Setup.exe

myblue

创建了服务，注入svchost.exe

白羊座

2009/12/30   11:52:23    创建注册表项    阻止
进程: i:\试毒\123.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetSense
规则: [应用程序]i:\试毒\123.exe -> [注册表]*\SYSTEM\*Controlset*\Services\*

2009/12/30   11:52:23    创建注册表项    阻止
进程: i:\试毒\123.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\NetSense
规则: [应用程序]i:\试毒\123.exe -> [注册表]*\SYSTEM\*Controlset*\Services\*

2009/12/30   11:52:23    创建注册表项    阻止
进程: i:\试毒\123.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetSense\Parameters
规则: [应用程序]i:\试毒\123.exe -> [注册表]*\SYSTEM\*Controlset*\Services\*

2009/12/30   11:52:23    创建注册表项    阻止
进程: i:\试毒\123.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\NetSense
规则: [应用程序]i:\试毒\123.exe -> [注册表]*\SYSTEM\*Controlset*\Services\*

2009/12/30   11:52:23    修改注册表值    阻止
进程: i:\试毒\123.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost\netsvcs
值: AeLookupSvc NetSense CertPropSvc SCPolicySvc lanmanserver gpsvc IKEEXT AudioSrv FastUserSwitchingCompatibility Ias Irmon Nla Ntmssvc NWCWorkstation Nwsapagent Rasauto Rasman Remoteaccess SENS Sharedaccess SRService Tapisrv Wmi WmdmPmSp TermService wuauserv BI
规则: [注册表组]系统关键设置保护（阻止） -> [注册表]*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost

2009/12/30   11:52:23    启动驱动程序或服务    阻止
进程: i:\试毒\123.exe
规则: [应用程序]*

2009/12/30   11:52:25    安装驱动程序或服务    阻止
进程: i:\试毒\123.exe
目标: NetSense
文件路径: C:\Windows\system32\svchost.exe -k netsvcs
规则: [应用程序]*

创建的文件:C:\Windows\system32\NetSense被360杀毒咔嚓

9908006

楼上这个运行记录是什么hips?