请HIPS党和高手帮忙看看这个是不是女鬼病毒？

显示全部楼层 · 发表于 2011-6-6 16:03:20

本帖最后由 a256886572008 于 2011-6-6 16:05 编辑

怡宝发表于 2011-6-6 15:57
感谢！不过顺便问下，这个女鬼病毒，是会在关机状态下自动开机并且启动的么？它修改哪个注册表做到的？ ...

他有两个开机启动项，我标红色的部份。

一个是注册表启动，一个是开始菜单启动。

根据作者的说明，是它衍生出的批处理在搞破坏的。

没有发现木马行为

显示全部楼层 · 发表于 2011-6-6 16:07:32

a256886572008 发表于 2011-6-6 16:03
他有两个开机启动项，我标红色的部份。

一个是注册表启动，一个是开始菜单启动。

嗯，就是，批处理这些不好整，应该才出来很多杀软都杀不到吧。。。

显示全部楼层 · 发表于 2011-6-6 16:38:09

卡巴MISS

显示全部楼层 · 发表于 2011-6-6 16:41:00

红伞捉鬼“BAT/Dilisis.F [virus]”

显示全部楼层 · 发表于 2011-6-6 16:44:59

AVG杀了。。。

显示全部楼层 · 发表于 2011-6-6 17:35:02

大蜘蛛clean，已上報！

显示全部楼层 · 发表于 2011-6-6 17:46:27

微点右键报毒

显示全部楼层 · 发表于 2011-6-6 18:34:17

这个病毒把我吓得半死

显示全部楼层 · 发表于 2011-6-6 20:28:32

本帖最后由 zhousulin5 于 2011-6-6 20:35 编辑

2011-6-6 20:22:15 创建文件允许
进程: d:\downloads\女鬼病毒\phantom.exe
目标: C:\Documents and Settings\1\Application Data\Phantom\SVCH0ST.EXE
规则: [应用程序]d:\downloads\女鬼病毒\phantom.exe -> [文件]c:\documents and settings\1\application data\phantom

2011-6-6 20:22:15 创建文件允许
进程: d:\downloads\女鬼病毒\phantom.exe
目标: C:\Documents and Settings\1\Application Data\Phantom\Dis.bat
规则: [应用程序]d:\downloads\女鬼病毒\phantom.exe -> [文件]c:\documents and settings\1\application data\phantom

2011-6-6 20:22:15 创建文件允许
进程: d:\downloads\女鬼病毒\phantom.exe
目标: C:\Documents and Settings\1\Application Data\Phantom\path.bat
规则: [应用程序]d:\downloads\女鬼病毒\phantom.exe -> [文件]c:\documents and settings\1\application data\phantom

2011-6-6 20:22:15 创建文件允许
进程: d:\downloads\女鬼病毒\phantom.exe
目标: C:\Documents and Settings\1\Application Data\Phantom\Phantom1.jpg
规则: [应用程序]d:\downloads\女鬼病毒\phantom.exe -> [文件]c:\documents and settings\1\application data\phantom

2011-6-6 20:22:15 创建文件允许
进程: d:\downloads\女鬼病毒\phantom.exe
目标: C:\Documents and Settings\1\Application Data\Phantom\Phantom.jpg
规则: [应用程序]d:\downloads\女鬼病毒\phantom.exe -> [文件]c:\documents and settings\1\application data\phantom

2011-6-6 20:22:15 创建文件允许
进程: d:\downloads\女鬼病毒\phantom.exe
目标: C:\Documents and Settings\1\Application Data\Phantom\jj.mp3
规则: [应用程序]d:\downloads\女鬼病毒\phantom.exe -> [文件]c:\documents and settings\1\application data\phantom

2011-6-6 20:22:17 修改文件阻止
进程: d:\downloads\女鬼病毒\phantom.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]d:\downloads\女鬼病毒\phantom.exe -> [文件]\Device\NamedPipe\lsarpc

2011-6-6 20:22:19 创建文件阻止
进程: d:\downloads\女鬼病毒\phantom.exe
目标: C:\Documents and Settings\1\「开始」菜单\程序\启动\Corporation.lnk
规则: [应用程序组]本地磁盘分区 -> [文件]*\「开始」菜单\程序\启动; *.lnk

显示全部楼层 · 发表于 2011-6-6 22:47:29

[病毒样本] 请HIPS党和高手帮忙看看这个是不是女鬼病毒？

本帖子中包含更多资源