病毒样本 附带分析

思齐鼠

——————————————————自定义命名：Trojan/downloader.A————————————

8887

萧剑

TO CIS

juechao2000

KOI9009

360 SD Kill

zuo

2010-12-24 21:22:19    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\样本\qq刷会员.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cache

2010-12-24 21:22:20    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\样本\qq刷会员.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cookies

2010-12-24 21:22:20    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\样本\qq刷会员.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; History

2010-12-24 21:22:21    从其他进程复制句柄    阻止
进程: c:\windows\system32\svchost.exe
目标: c:\documents and settings\administrator\桌面\样本\qq刷会员.exe
句柄: (Key) \REGISTRY\USER\S-1-5-21-57989841-842925246-854245398-500\Software\Microsoft\Windows NT\CurrentVersion\Network\Location Awareness
规则: [应用程序]c:\windows\system32\svchost.exe

2010-12-24 21:22:21    访问网络    阻止
进程: c:\documents and settings\administrator\桌面\样本\qq刷会员.exe
目标: TCP [本机 : 1557] ->  [202.102.110.204 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-12-24 21:22:22    访问网络    阻止
进程: c:\documents and settings\administrator\桌面\样本\qq刷会员.exe
目标: TCP [本机 : 1558] ->  [208.98.40.88 : 6668]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-12-24 21:22:22    修改注册表值    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\样本\qq刷会员.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\QQ刷会员
值: C:\Documents and Settings\Administrator\桌面\样本\QQ刷会员.exe
规则: [应用程序组]RD应用程序规则-危险进程执行规则 -> [应用程序]*\documents and settings\* -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

一晴空

ESET        未查明的 NewHeur_PE 病毒        连接中断 - 已隔离        通过应用程序访问 web 时检测到威胁: C:\Program Files\Maxthon3\Bin\MxDownloader.exe.

留侯

大蜘蛛：/QQ=CB=A2=BB=E1=D4=B1.exe infected with modification of Win32.HLLM.Generic.349

594157544

eset kill  



小红伞高启发

fatezero

KIS

对象被HEUR:Trojan-Downloader.Win32.Generic感染