http://3.ajehe.info:86/1.exe (红伞PASS，卡巴启发，金山未知）

绅博周幸

恰克

瑞星报毒！

a256886572008

CAV 殺

2011-06-17 05:46:09   C:\Documents and Settings\Roger\桌面\VIRUS\1\1.exe   TrojWare.Win32.Spy.Agent.04@115252303  

-------------------------------------------
http://camas.comodo.com/cgi-bin/submit?file=2ad64327e19da246cb0128ab2a3a83ce564f401a81083d6d8dca35ca46d3347a

• VerdictAuto Analysis Verdict
Suspicious++

• DescriptionSuspicious Actions Detected
Creates files in windows system directory
Deletes self
Patches system files

jayavira

ess kill

D:\下载文件夹\1.rar > RAR > 1.exe - Win32/PSW.OnLineGames.PIR 特洛伊木马 的变种

619875192

卡巴  报木马  KILL

留侯

大蜘蛛：1.exe infected with Trojan.PWS.Gamania.30164

xiaoxmj

金山报

liulangzhecgr

2011-6-17 09:22:57    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\1\1.exe
命令行: "E:\DownLoads\1\1.exe"
规则: [应用程序]*

2011-6-17 09:23:04    创建新进程    阻止
进程: e:\downloads\1\1.exe
目标: c:\windows\system32\net.exe
命令行: net stop cryptsvc
规则: [应用程序]*

2011-6-17 09:23:09    创建新进程    阻止
进程: e:\downloads\1\1.exe
目标: c:\windows\system32\sc.exe
命令行: sc config cryptsvc start= disabled
规则: [应用程序]*

2011-6-17 09:23:13    创建新进程    阻止
进程: e:\downloads\1\1.exe
目标: c:\windows\system32\sc.exe
命令行: sc delete cryptsvc
规则: [应用程序]*

2011-6-17 09:23:20    创建文件    允许
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\YUksuser.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:23:30    删除文件    阻止
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\ksuser.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:23:34    修改文件    阻止
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\ksuser.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:23:45    修改注册表值    允许
进程: e:\downloads\1\1.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\WINDOWS\system32\TEMB.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2011-6-17 09:23:49    修改文件    阻止
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\ksuser.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll


2011-6-17 09:23:58    创建文件    阻止
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\dllcache\ksuser.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:24:08    创建文件    允许
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\YUmidimap.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:24:10    删除文件    阻止
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\midimap.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:24:13    修改文件    阻止
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\midimap.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:24:26    修改注册表值    允许
进程: e:\downloads\1\1.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\WINDOWS\system32\TEMB.tmp  \??\C:\WINDOWS\system32\TEMC.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2011-6-17 09:24:30    修改文件    阻止
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\midimap.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:24:40    创建文件    阻止
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\dllcache\midimap.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:24:52    创建文件    允许
进程: e:\downloads\1\1.exe
目标: C:\WINDOWS\system32\sysapp10.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-6-17 09:24:57    创建新进程    允许
进程: e:\downloads\1\1.exe
目标: c:\windows\system32\rundll32.exe
命令行:  C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1308273777.dat, ServerMain e:\downloads\1\1.exe
规则: [应用程序]*

2011-6-17 09:25:03    删除文件    允许
进程: c:\windows\system32\rundll32.exe
目标: E:\DownLoads\1\1.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

wuyongliang

avast继续拦截

星晨

BitDefender
1.exe Gen:Variant.Buzy.3248