rplat.exe(TDSS rootkit)

显示全部楼层 · 发表于 2011-6-26 23:32:24

大蜘蛛：
/rplat.exe infected with Trojan.DownLoader3.50307

显示全部楼层 · 发表于 2011-6-27 01:36:09

humanlwj52 发表于 2011-6-26 18:20
LZ的毒霸弹窗怎么是这种字体？

繁体系统

显示全部楼层 · 发表于 2011-6-27 01:57:29

PCA...右键KILL

显示全部楼层 · 发表于 2011-6-27 02:12:31

BD blocked

显示全部楼层 · 发表于 2011-6-27 08:06:44

to Avira

显示全部楼层 · 发表于 2011-6-27 09:20:58

tdss.tdl4 就这么几个动作:

2011-6-27 09:16:15 创建新进程允许
进程: c:\windows\explorer.exe
目标: e:\downloads\rplat\rplat.exe
命令行: "E:\DownLoads\rplat\rplat.exe"
规则: [应用程序]*

2011-6-27 09:16:33 修改注册表值允许
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Providers\sdk\Name
值: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\5.tmp
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Providers\*; Name

2011-6-27 09:16:45 修改文件允许
进程: e:\downloads\rplat\rplat.exe
目标: E:\DownLoads\rplat\rplat.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-6-27 09:16:49 创建文件允许
进程: c:\windows\system32\spoolsv.exe
目标: C:\WINDOWS\TEMP\7.tmp
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [文件]*

2011-6-27 09:16:54 修改注册表值允许
进程: e:\downloads\rplat\rplat.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\6.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2011-6-27 09:17:21 修改文件允许
进程: c:\windows\system32\spoolsv.exe
目标: C:\WINDOWS\TEMP\7.tmp
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [文件]*

2011-6-27 09:17:26 创建注册表项允许
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\system\currentcontrolset\services\qynvxtfjibftkor
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2011-6-27 09:17:31 修改注册表值允许
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\qynvxtfjibftkor\imagepath
值: \??\C:\WINDOWS\TEMP\7.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2011-6-27 09:17:36 加载驱动程序允许
进程: c:\windows\system32\spoolsv.exe
目标: c:\windows\temp\7.tmp
规则: [应用程序]c:\windows\system32\spoolsv.exe

2011-6-27 09:17:42 删除注册表项允许
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\qynvxtfjibftkor
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2011-6-27 09:18:04 创建文件夹允许
进程: c:\windows\system32\spoolsv.exe
目标: C:\Documents and Settings\LocalService\IETldCache
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [文件]*

2011-6-27 09:18:08 设置文件夹隐藏属性阻止
进程: c:\windows\system32\spoolsv.exe
目标: C:\Documents and Settings\LocalService\IETldCache
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [文件]*

2011-6-27 09:18:14 访问网络允许
进程: c:\windows\system32\spoolsv.exe
目标: TCP [本机 : 1335] -> [194.50.7.223 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-6-27 09:18:19 删除文件允许
进程: c:\windows\system32\spoolsv.exe
目标: C:\WINDOWS\Temp\7.tmp
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [文件]*

显示全部楼层 · 发表于 2011-6-27 09:33:22

纠正一下... ...

显示全部楼层 · 发表于 2011-6-27 11:26:16

liulangzhecgr 发表于 2011-6-27 09:33
纠正一下... ...

对MBR无大的破坏性危害，实机测试，重启系统顺利进入，不用修复MBR。

显示全部楼层 · 发表于 2011-6-27 11:35:34

hddu 发表于 2011-6-27 11:26
对MBR无大的破坏性危害，实机测试，重启系统顺利进入，不用修复MBR。

在XP、2003的一些环境，TDSS修改MBR后重启是进不了系统的。以前有人说XueTr修复不了鬼影改写的MBR或者修复后重启进不了系统，经调查很多情况下就是运行了TDSS后导致XueTr修复失败。

显示全部楼层 · 发表于 2011-6-27 11:44:42

dl123100 发表于 2011-6-27 11:35
在XP、2003的一些环境，TDSS修改MBR后重启是进不了系统的。以前有人说XueTr修复不了鬼影改写的MBR或者修复 ...

极少用XueTr修复鬼影改写的MBR，主要是用工具盘里的diskgen.exe程序修复，有时也用xorldrc.exe修复。

[病毒样本] rplat.exe(TDSS rootkit)

本帖子中包含更多资源

本帖子中包含更多资源