http://dnusax.com/ic/ic1.exe

显示全部楼层 · 发表于 2010-10-24 20:58:00

来自：http://www.threatexpert.com/report.aspx?md5=e01f45345e4bb1d9ca96fe6af28bea19

显示全部楼层 · 发表于 2010-10-24 21:05:32

2010-10-24 21:04:13 运行应用程序    操作:允许
进程路径:F:\virus\ic1\ic1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\ic1.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2010-10-24 21:04:14 运行应用程序    操作:允许
进程路径:F:\virus\ic1\ic1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\7za.exe
命令行:x C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\a1.7z -aoa -oC:\DOCUME~1\ADMINI~1\LOCALS~1\Temp -plolmilf
触发规则:所有程序规则->其它程序设置->*\Temp\*

2010-10-24 21:04:16 运行应用程序    操作:允许
进程路径:F:\virus\ic1\ic1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\EuroP.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2010-10-24 21:04:16 运行应用程序    操作:允许
进程路径:F:\virus\ic1\ic1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\E4U.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2010-10-24 21:04:16 运行应用程序    操作:允许
进程路径:F:\virus\ic1\ic1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\ic1.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2010-10-24 21:04:17 运行应用程序    操作:允许
进程路径:F:\virus\ic1\ic1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Gi.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2010-10-24 21:04:19 运行应用程序    操作:允许
进程路径:F:\virus\ic1\ic1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_tbp.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2010-10-24 21:04:22 修改注册表内容    操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers
注册表名称:Order
更改后:LanMan Print Services
触发规则:应用程序规则->系统程序->%windir%\system32\spoolsv.exe->HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers

2010-10-24 21:04:28 创建远程线程    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\E4U.exe
目标进程:C:\WINDOWS\explorer.exe
触发规则:所有程序规则->*

2010-10-24 21:04:28 创建文件    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_tbp.exe
文件路径:C:\WINDOWS\bkualtl.dll
触发规则:所有程序规则->WINDOWS文件夹全局阻止设置（一）->%windir%\*.dll

2010-10-24 21:04:28 修改文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_tbp.exe
文件路径:C:\WINDOWS\bkualtl.dll
触发规则:所有程序规则->WINDOWS文件夹全局阻止设置（一）->%windir%\*.dll

2010-10-24 21:04:28 修改文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_tbp.exe
文件路径:C:\WINDOWS\bkualtl.dll
触发规则:所有程序规则->WINDOWS文件夹全局阻止设置（一）->%windir%\*.dll

2010-10-24 21:04:28 运行应用程序    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_tbp.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行: "C:\WINDOWS\bkualtl.dll",Startup
触发规则:所有程序规则->系统程序设置->%windir%\system32\rundll32.exe

2010-10-24 21:04:31 运行应用程序    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\ic1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\14.tmp.exe
触发规则:应用程序规则->TEMP临时目录->*\Temp\*->*\Temp\*.exe

2010-10-24 21:04:32 修改注册表内容    操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers
注册表名称:Order
更改后:LanMan Print Services
触发规则:应用程序规则->系统程序->%windir%\system32\spoolsv.exe->HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers

2010-10-24 21:05:10 运行应用程序    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Gi.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\geurge.exe
触发规则:应用程序规则->TEMP临时目录->*\Temp\*->*\Temp\*.exe

2010-10-24 21:05:16 创建注册表值    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Gi.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:ewrgetuj
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2010-10-24 21:05:17 运行应用程序    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Gi.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Security Center"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2010-10-24 21:05:17 运行应用程序    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Gi.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Windows Firewall/Internet Connection Sharing (ICS)
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2010-10-24 21:05:17 运行应用程序    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Gi.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\tujserrew.bat""
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2010-10-24 21:05:18 删除文件    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\tujserrew.bat
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->*\*.bat

显示全部楼层 · 发表于 2010-10-24 21:11:43

本帖最后由 oneappleliu 于 2010-10-24 21:12 编辑

EAV Kill

显示全部楼层 · 发表于 2010-10-24 21:13:02

AVG表示安全

显示全部楼层 · 发表于 2010-10-24 21:14:23

数字卫士未报，小A报

显示全部楼层 · 发表于 2010-10-24 21:39:43

2010/10/24 21:38:57 已删除木马程序 Trojan-Dropper.Win32.NSIS.tf G:\Temp\Virus\ic1.rar/ic1.exe//data0001

显示全部楼层 · 发表于 2010-10-24 22:08:17

dropper病毒被拦截 by avast

显示全部楼层 · 发表于 2010-10-24 22:36:25

eset kill 5
C:\Users\微亿毫\Desktop\ic1.rar > RAR > ic1.exe > NSIS > a1.7z > 7ZIP > E4U.exe - Win32/Kryptik.HPN 特洛伊木马的变种
C:\Users\微亿毫\Desktop\ic1.rar > RAR > ic1.exe > NSIS > a1.7z > 7ZIP > EuroP.exe - Win32/Kryptik.HQN 特洛伊木马的变种
C:\Users\微亿毫\Desktop\ic1.rar > RAR > ic1.exe > NSIS > a1.7z > 7ZIP > Gi.exe - Win32/VB.NIY 特洛伊木马的变种
C:\Users\微亿毫\Desktop\ic1.rar > RAR > ic1.exe > NSIS > a1.7z > 7ZIP > ic1.exe - Win32/Olmarik.AGC 特洛伊木马的变种
C:\Users\微亿毫\Desktop\ic1.rar > RAR > ic1.exe > NSIS > a1.7z > 7ZIP > _tbp.exe - Win32/Cimag.DU 特洛伊木马的变种

显示全部楼层 · 发表于 2010-10-24 23:19:42

已上報趨勢~

显示全部楼层 · 发表于 2010-10-24 23:26:24

miss，to xandora(panda)

[病毒样本] http://dnusax.com/ic/ic1.exe

本帖子中包含更多资源

本帖子中包含更多资源