求测试～～

显示全部楼层 · 发表于 2011-2-25 20:02:57

这病毒是以前那个rundll.zeif的升级版
把我的360给过了，

求检测，

请看一下说明：要不看的话病毒跑不起来

压缩包中的：

msvcr100.dll和msvcr100d.dll

请放到c:\windows\system32\目录下，

要不然病毒运行不起来，或只有部分功能，
这两个dll是正常文件，病毒大概是vs2010编译的，需要这两个dll支持

显示全部楼层 · 发表于 2011-2-25 20:28:58

本帖最后由 hddu 于 2011-2-25 20:32 编辑

2011-02-25 20:28:25 创建文件    操作:阻止
进程路径:F:\virus\wwwroot[1]\111.exe
文件路径:C:\WINDOWS\rundll.zeif
触发规则:所有程序规则->白名单与黑名单->*\*.zeif

2011-02-25 20:28:25 创建文件    操作:阻止
进程路径:F:\virus\wwwroot[1]\111.exe
文件路径:C:\WINDOWS\rundll.zeif
触发规则:所有程序规则->白名单与黑名单->*\*.zeif

2011-02-25 20:28:25 创建文件    操作:阻止
进程路径:F:\virus\wwwroot[1]\111.exe
文件路径:C:\WINDOWS\rundll.zeif
触发规则:所有程序规则->白名单与黑名单->*\*.zeif

2011-02-25 20:28:26 创建文件    操作:允许
进程路径:F:\virus\wwwroot[1]\111.exe
文件路径:C:\WINDOWS\zeif.z
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*

2011-02-25 20:28:26 创建注册表值    操作:阻止并结束进程
进程路径:F:\virus\wwwroot[1]\111.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\knsdsvc.exe
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*

2011-02-25 20:28:26 创建注册表值    操作:阻止并结束进程
进程路径:F:\virus\wwwroot[1]\111.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\knsdsvc.exe
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*

2011-02-25 20:28:26 创建注册表值    操作:阻止并结束进程
进程路径:F:\virus\wwwroot[1]\111.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\knsdtray.exe
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*

显示全部楼层 · 发表于 2011-2-25 20:31:58

回复 2楼 hddu 的帖子

eq过了没？

显示全部楼层 · 发表于 2011-2-25 20:34:11

2011-02-25 20:33:56 创建文件    操作:允许
进程路径:F:\virus\wwwroot[1]\111.exe
文件路径:C:\WINDOWS\rundll.zeif
触发规则:所有程序规则->白名单与黑名单->*\*.zeif

2011-02-25 20:33:56 创建文件    操作:允许
进程路径:F:\virus\wwwroot[1]\111.exe
文件路径:C:\WINDOWS\zeif.z
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*

2011-02-25 20:33:56 创建注册表值    操作:阻止并结束进程
进程路径:F:\virus\wwwroot[1]\111.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\knsdsvc.exe
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*

2011-02-25 20:33:56 创建注册表值    操作:阻止并结束进程
进程路径:F:\virus\wwwroot[1]\111.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\knsdsvc.exe
注册表名称:[Key]
触发规则:应用程序规则->受保护的注册表->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*

显示全部楼层 · 发表于 2011-2-25 20:46:31

Certer 发表于 2011-2-25 20:31
回复 2楼 hddu 的帖子

eq过了没？

乃说呢？

显示全部楼层 · 发表于 2011-2-25 20:50:23

回复 5楼 hddu 的帖子

这真看不出来，
我猜是过了

显示全部楼层 · 发表于 2011-2-25 20:51:22

本帖最后由三生缘石于 2011-2-25 23:12 编辑

这货直接让我机器卡死了。。。。。
害我强制关机
to eset

Thank you for your submission.

The detection for this threat will be included in our next signature update.

111.exe - Win32/KillProt.AS trojan

Regards,

Šomlo Ivan

Virus Researcher

ESET spol. s r.o.

显示全部楼层 · 发表于 2011-2-25 20:53:42

回复 7楼三生缘石的帖子

我了个去,咱的情况比较好一点，他自动注销了，然后再切回来，360就不见了- =

显示全部楼层 · 发表于 2011-2-25 20:55:17

360宇宙无敌

显示全部楼层 · 发表于 2011-2-25 21:01:51

大蜘蛛MISS，已上报！

[病毒样本] 求测试～～

本帖子中包含更多资源