[病毒样本] 3x

显示全部楼层 · 发表于 2010-9-15 09:54:11

本帖最后由 post8 于 2010.9.15 09:59 编辑

NOD KILL 2 to
file.exe - Win32/Agent.OHE 特洛伊木马
lee_17.exe - Win32/TrojanDownloader.FakeAlert.BDE 特洛伊木马的变种

password:virus

显示全部楼层 · 发表于 2010-9-15 09:55:54

本帖最后由 414447992 于 2010.9.15 10:07 编辑

回复 1楼 post8 的帖子

一个被云查杀

剩余两个也被主防拦住

第三个

显示全部楼层 · 发表于 2010-9-15 10:00:07

回复 2楼 414447992 的帖子

好了

显示全部楼层 · 发表于 2010-9-15 10:32:09

KIS
特征 2
启发 1 TO KL

显示全部楼层 · 发表于 2010-9-15 10:35:38

NIS 启发1个,360杀毒一个.另一个上报NIS[:26:] 我不敢实机测试NIS的sonar,所以不好判断

显示全部楼层 · 发表于 2010-9-15 10:39:39

2010-09-15 10:36:08 运行应用程序    操作:允许
进程路径:F:\virus\3p\file.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
命令行:temper
触发规则:所有程序规则->其它程序设置->*\Temp\*

2010-09-15 10:36:18 修改文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
文件路径:C:\WINDOWS\system32\kernel32.dll
触发规则:所有程序规则->需要保护的文件->%windir%\system32\kernel32.dll

2010-09-15 10:36:18 创建文件    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
文件路径:C:\WINDOWS\system32\Acrobat.dll
触发规则:所有程序规则->WINDOWS文件夹全局阻止设置（一）->%windir%\system32\*.dll

2010-09-15 10:36:24 访问物理内存    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
物理内存:\device\physicalmemory
触发规则:所有程序规则->*

2010-09-15 10:36:24 访问物理内存    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
物理内存:\device\physicalmemory
触发规则:所有程序规则->*

2010-09-15 10:36:25 访问物理内存    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
物理内存:\device\physicalmemory
触发规则:所有程序规则->*

2010-09-15 10:36:25 访问物理内存    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
物理内存:\device\physicalmemory
触发规则:所有程序规则->*

2010-09-15 10:36:25 访问物理内存    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
物理内存:\device\physicalmemory
触发规则:所有程序规则->*

2010-09-15 10:36:25 访问物理内存    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
物理内存:\device\physicalmemory
触发规则:所有程序规则->*

2010-09-15 10:36:25 访问物理内存    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
物理内存:\device\physicalmemory
触发规则:所有程序规则->*

2010-09-15 10:36:25 访问物理内存    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
物理内存:\device\physicalmemory
触发规则:所有程序规则->*

2010-09-15 10:36:25 创建文件    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
文件路径:C:\WINDOWS\system32\tlmon.exe
触发规则:所有程序规则->WINDOWS文件夹全局阻止设置（一）->%windir%\system32\*.exe

2010-09-15 10:36:25 修改文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
文件路径:C:\WINDOWS\system32\tlmon.exe
触发规则:所有程序规则->WINDOWS文件夹全局阻止设置（一）->%windir%\system32\*.exe

2010-09-15 10:36:25 创建注册表值    操作:阻止并结束进程
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
注册表名称:[Key]
触发规则:所有程序规则->自动运行->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run*

2010-09-15 10:36:25 创建注册表值    操作:阻止并结束进程
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\lock.tmp
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
注册表名称:[Key]
触发规则:所有程序规则->自动运行->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run*

显示全部楼层 · 发表于 2010-9-15 11:05:16

2010-09-15 10:50:24 创建文件    操作:允许
进程路径:F:\virus\3p\upfire.exe
文件路径:C:\WINDOWS\ws386.ini
触发规则:所有程序规则->WINDOWS文件夹全局允许设置->%windir%\*.ini

2010-09-15 10:50:24 创建文件    操作:允许
进程路径:F:\virus\3p\upfire.exe
文件路径:C:\WINDOWS\ws386.ini
触发规则:所有程序规则->WINDOWS文件夹全局允许设置->%windir%\*.ini

2010-09-15 10:50:27 创建文件    操作:允许
进程路径:F:\virus\3p\upfire.exe
文件路径:C:\WINDOWS\system32\aspimgr.exe
触发规则:所有程序规则->WINDOWS文件夹全局阻止设置（一）->%windir%\system32\*.exe

2010-09-15 10:50:33 创建注册表值    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\aspimgr
注册表名称:[Key]
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*

2010-09-15 10:50:36 创建注册表值    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\aspimgr
注册表名称:Start
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services*

2010-09-15 10:50:41 创建注册表值    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\aspimgr
注册表名称:ImagePath
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*

2010-09-15 10:50:42 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system32\aspimgr.exe
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->%windir%\*.exe

2010-09-15 10:50:42 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system32\aspimgr.exe
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->%windir%\*.exe

2010-09-15 10:50:42 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system32\aspimgr.exe
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->%windir%\*.exe

2010-09-15 10:50:42 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system32\aspimgr.exe
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->%windir%\*.exe

2010-09-15 10:50:42 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system32\aspimgr.exe
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->%windir%\*.exe

2010-09-15 10:50:42 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system32\aspimgr.exe
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->%windir%\*.exe

2010-09-15 10:50:44 运行应用程序    操作:允许
进程路径:F:\virus\3p\upfire.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\_check32.bat" "
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2010-09-15 10:50:44 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\conime.exe
触发规则:所有程序规则->系统程序设置->*\conime.exe

2010-09-15 10:50:50 删除文件    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\3p\upfire.exe
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->?:\*

显示全部楼层 · 发表于 2010-9-15 12:44:39

红伞V10发现一个

显示全部楼层 · 发表于 2010-9-15 14:22:05

mcafee
Artemis!504DEFC2C2EF
miss 2x to avert

显示全部楼层 · 发表于 2010-9-16 15:36:39

不解压小A不报，实机不敢解压，哪位童鞋试下