wm.exe bbbb.exe 101_01.exe = 3X

绅博周幸

3X

蝉鸣时

To KL, ESET.

Hello,

This message is generated by automatic letter reception system. The report contains information on what the verdicts on the files (if any in the letter) makes antivirus with latest updates. Letter will be passed to the virus analyst.

101_01.exe,
bbbb.exe,
wm.exe

These files are in process.

Best Regards, Kaspersky Lab

hddu

非毒。

绅博周幸

非毒。
hddu 发表于 2010.7.28 00:53

不可能，这个是从挂马网页中提取出来的，挂马者会挂非病毒吗

hddu

回复 4楼 绅博周幸  的帖子

http://www.virustotal.com/zh-cn/ ... 662ec77c-1280250014   

绅博周幸

回复
hddu 发表于 2010.7.28 01:18

那也有可能是免杀的好，躲过所有多引擎呢

hddu

回复 6楼 绅博周幸  的帖子
免杀的理由：

2010-07-28 01:22:20    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\system32\conime.exe
触发规则:所有程序规则->系统程序设置->*\conime.exe


2010-07-28 01:22:20    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scsF.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:22:20    修改文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scsF.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:22:21    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs10.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:22:21    修改文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs10.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:22:21    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\Temp\scsF.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:22:21    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\Temp\scs10.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:27    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\system32\conime.exe
触发规则:所有程序规则->系统程序设置->*\conime.exe


2010-07-28 01:24:27    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs11.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:27    修改文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs11.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:28    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs12.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:28    修改文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs12.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:28    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\Temp\scs11.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:28    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\Temp\scs12.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:39    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs13.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:39    修改文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs13.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:39    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs14.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:39    修改文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\TEMP\scs14.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:40    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\Temp\scs13.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*


2010-07-28 01:24:40    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
文件路径:C:\WINDOWS\Temp\scs14.tmp
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->%windir%\Temp\*




   

绅博周幸

回复
免杀的理由：

2010-07-28 01:22:20    运行应用程序      操作:允许
进程路径:C:\WINDOWS\syste ...
hddu 发表于 2010.7.28 01:25

NPE也查不到

liangzaiye123

免杀能免多引擎 和NPE？ 那挂马者 做杀软 查杀率能达99.99999%了

wjcharles

看来NPE也不是纯白名单嘛～～