来几个实际点的！[MD5: FDDC01 B8A8DA 11AC53]

傻猪猪米走鸡

时间        模块        对象        名称        病毒        操作        用户        信息
2007-6-24 10:29:00        文件监控        文件        F:\virus\virus\spy.exe        未知的 NewHeur_PE 病毒        已隔离 - 已删除        B6F165DF6D964AD\Administrator        应用程序试图创建新文件时发生事件: d:\Program Files\WinRAR\WinRAR.exe. 文件已移至隔离区，你可以关闭此窗口。
2007-6-24 10:28:56        文件监控        文件        F:\virus\virus\q.exe        可能是 Win32/Genetik 木马 变种        已隔离 - 已删除        B6F165DF6D964AD\Administrator        应用程序试图创建新文件时发生事件: d:\Program Files\WinRAR\WinRAR.exe. 文件已移至隔离区，你可以关闭此窗口。

chris0718

McAfee SecurityCenter 2007
下载扫描后,检测名称:New Malware.em(特洛伊木马)

a256886572008

運行spy.exe，發現下列行為,被EQ-Secure RC2攔截！

2007-06-24 10:52:10    运行应用程序      操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\FDDC01virus\spy.exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-24 10:52:10    创建文件      操作:阻止
进程路径:D:\桌面\virus\FDDC01virus\spy.exe
文件路径:C:\windows\svcr.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 10:52:10    创建文件      操作:阻止
进程路径:D:\桌面\virus\FDDC01virus\spy.exe
文件路径:C:\windows\svcr.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 10:52:10    创建文件      操作:阻止
进程路径:D:\桌面\virus\FDDC01virus\spy.exe
文件路径:C:\windows\svcr.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 10:52:10    删除注册表      操作:阻止
进程路径:C:\windows\system32\ctfmon.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:internat.exe
规则:所有程序规则->系统自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

1.他會在C:\windows\生成
   svcr.exe
2.他會删除注册表
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   internat.exe

a256886572008

運行windowsmod.exe，發現下列行為，被EQ-Secure RC2攔截！

2007-06-24 10:54:49    运行应用程序      操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\FDDC01virus\windowsmod.exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-24 10:54:49    创建文件      操作:阻止
进程路径:D:\桌面\virus\FDDC01virus\windowsmod.exe
文件路径:C:\windows\system32\windowsmod.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 10:54:49    创建文件      操作:阻止
进程路径:D:\桌面\virus\FDDC01virus\windowsmod.exe
文件路径:C:\windows\system32\windowsmod.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 10:54:49    创建文件      操作:阻止
进程路径:D:\桌面\virus\FDDC01virus\windowsmod.exe
文件路径:C:\windows\system32\windowsmod.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 10:54:49    创建文件      操作:阻止
进程路径:D:\桌面\virus\FDDC01virus\windowsmod.exe
文件路径:C:\windows\system32\brc_Server.dat
规则:所有程序规则->2.1.3组：保護部分重要的文件和文件夾->%SystemDrive%\*


2007-06-24 10:54:49    修改注册表内容      操作:阻止
进程路径:C:\windows\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinNTsystems
注册表名称:[Key]
规则:所有程序规则->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*

1.他會在C:\windows\system32\生成
   windowsmod.exe
   brc_Server.dat
2.他會修改注册表内容
   HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinNTsystems
   [Key]

promised

License expired
License #000000119 Valid till 2006-12-31
Demo mode
Command line options:
/r=susp.rpt /ha=3 /collect_suspects /nc /af+ /ar+ /bt- /mr- /ml+ /rw+ /as-
Ctrl-C will terminate program execution

*:
C:\
C:\ABC\virus.rar:<RAR>\q.exe : infected Backdoor.Win32.EggDrop.19
C:\ABC\virus.rar:<RAR>\spy.exe : infected MalwareScope.Backdoor.Hupigon.4
C:\ABC\virus.rar:<RAR>\windowsmod.exe : infected MalwareScope.Backdoor.Hupigon.4
Program execution terminated by user


Directories       : 3       Files in archives:      Files on disks:
Archives:                   - total       : 3       - total       : 21
- scanned         : 1       -  scanned    : 3       - scanned     : 20
- contain viruses : 1       -  infected   : 3       - infected    : 1
- deleted         : 0       -  suspicious : 0       - suspicious  : 0

Startup    : 12:31:29 24-06-2007
End        : 12:31:38 24-06-2007
Total time : 00:00:09
终止批处理操作吗(Y/N)?

yashoo

mcafee pass......

红心王子

斧头监控表现出色，报后门两个

woai_jolin

2007/6/24 14:00:22        eAmon        file        D:\virus\硬盘终结者\spy.exe        probably unknown NewHeur_PE virus        deleted - quarantined                Event occurred on a new file created by the application: C:\Program Files\WinRAR\WinRAR.exe.
2007/6/24 14:00:14        eAmon        file        D:\VIRUS\硬盘终结者\Q.EXE        probably a variant of Win32/Genetik trojan        cleaned by deleting - quarantined        NT AUTHORITY\SYSTEM        Event occurred during an attempt to access the file by the application: C:\Program Files\Micropoint\MPSVC2.exe.