norton果然能修复exe和注册表

显示全部楼层 · 发表于 2010-9-27 01:21:44

本帖最后由 wjcharles 于 2010.9.27 17:56 编辑

见样本区
http://bbs.kafan.cn/forum.php?mod=viewthread&tid=800626&page=1&extra=#pid14861656

用的MD2.7 防火墙 JPF 没装杀软 XP系统
突然不管运行什么程序都会安装TMEP下的消息钩子
而且打开VM7就报错
系统以前做过GHOST，还原后，还是出现同样情况，运行程序就安装消息钩子。
VM7同样报错。
把TEMP下的2个tmp文件上传virscan ，一大半杀软都报毒。
装了小A后，扫描发现全都感染。。。。现在发现运行程序已经不在安装TEMP下的全局消息钩子了。

谁能告诉我这是个什么病毒。。用小A和红伞扫描全盘，发现EXE都报毒
我上传1个报毒文件。

结果NIS2011不但修复了exe(见原帖)，还修复了注册表，果然是面向企业的杀软啊

c:\users\administrator\downloads\vmrun\vmrun.exe
____________________________
____________________________
在电脑上的创建时间:
2010/9/27 ( 1:02:25 )
上次使用时间:
2010/9/27 ( 1:05:07 )
启动项:
否
已启动:
否
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
威胁类型: 病毒。将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。
____________________________
来源
下载自 URL 不可用

来源: 外部介质源文件:
vmrun.exe

____________________________
文件操作
文件: c:\Users\administrator\downloads\vmrun\vmrun.exe
已删除
____________________________
注册表操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{23KLN5J0-4OPM-11WE-AAX5-24EF1F387232}
需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\->DisableSR:0
需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Explorer->PINF
需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Explorer->PINF
需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Explorer->PINF
需要重新启动
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer->PINF
需要重新启动
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer->PINF
需要重新启动
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer->PINF
需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\Microsoft\Windows\CurrentVersion\Run->lov3ly
需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run->Windo Servic Agents 32
需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Run->Windo Servic Agents 32
需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Run->Windo Servic Agents 32
需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Run->Windo Servic Agents 32
需要重新启动
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run->Windo Servic Agents 32
需要重新启动
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run->Windo Servic Agents 32
需要重新启动
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run->Windo Servic Agents 32
需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices->Windo Servic Agents 32
需要重新启动
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2010-9-27 03:56:11

至今未见过他修复exe，可能是因为我不怎么喜欢折腾软件吧。

显示全部楼层 · 发表于 2010-9-27 08:58:56

果然厉害

显示全部楼层 · 发表于 2010-9-27 09:25:33

诺顿不错啊。

显示全部楼层 · 发表于 2010-9-27 09:33:22

很神奇！

显示全部楼层 · 发表于 2010-9-27 09:34:32

NAV有这个功能吗？

显示全部楼层 · 发表于 2010-9-27 09:46:02

我这里目前只看到一个结果，就是已隔离

显示全部楼层 · 发表于 2010-9-27 10:01:04

[:26:]只要能修复的诺顿会修复一切病毒修改的项目

显示全部楼层 · 发表于 2010-9-27 10:04:07

我就是用NIS2011的

显示全部楼层 · 发表于 2010-9-27 11:58:43

这个大牛了~~~~

[讨论] norton果然能修复exe和注册表