大清早来两个[MD5: 2156E3 65E43D]

显示全部楼层 · 发表于 2007-7-5 09:44:21

NIS WIN32 LOOKED

显示全部楼层 · 发表于 2007-7-5 09:50:11

運行go.exe，發現下列行為，被EQ-Secure RC3攔截！

2007-07-05 09:44:43 運行應用程序    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
文件路徑:C:\windows\system32\svchost.exe
規則:所有程序規則->*

2007-07-05 09:44:44 修改其它進程內存    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
目標進程:C:\windows\system32\svchost.exe
規則:所有程序規則->*

2007-07-05 09:44:46 修改其它進程內存    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
目標進程:C:\windows\system32\svchost.exe
規則:所有程序規則->*

2007-07-05 09:44:47 修改其它進程內存    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
目標進程:C:\windows\system32\svchost.exe
規則:所有程序規則->*

2007-07-05 09:44:48 修改其它進程內存    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
目標進程:C:\windows\system32\svchost.exe
規則:所有程序規則->*

2007-07-05 09:44:48 修改其它進程內存    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
目標進程:C:\windows\system32\svchost.exe
規則:所有程序規則->*

2007-07-05 09:44:48 修改其它進程內存    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
目標進程:C:\windows\system32\svchost.exe
規則:所有程序規則->*

2007-07-05 09:44:48 修改其它進程內存    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
目標進程:C:\windows\system32\svchost.exe
規則:所有程序規則->*

2007-07-05 09:44:48 創建文件    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*

2007-07-05 09:44:56 創建文件    操作:允許
進程路徑:D:\桌面\virus\2156E3\go.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\Deleteme.bat
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*

2007-07-05 09:44:56 運行應用程序    操作:阻止
進程路徑:D:\桌面\virus\2156E3\go.exe
文件路徑:C:\windows\system32\cmd.exe
命令行:/c C:\windows\system32\Deleteme.bat
規則:黑名單->防卸规则->*\cmd.exe

1.他會運行svchost.exe
2.他會在C:\windows\system32\生成
Deleteme.bat
3.他會運行cmd.exe
/c C:\windows\system32\Deleteme.bat

Deleteme.bat的結構

:try
del "D:\桌面\virus\2156E3\go.exe"
if exist "D:\桌面\virus\2156E3\go.exe" goto try
del %0

显示全部楼层 · 发表于 2007-7-5 09:55:47

微点砍掉

显示全部楼层 · 发表于 2007-7-5 11:03:42

MCAFEE杀一个.

显示全部楼层 · 发表于 2007-7-5 11:05:15

go.exe_ - Trojan-Downloader.Win32.Delf.bko,
lsass.exe_ - Trojan-Clicker.Win32.Flyst.g

New malicious software was found in these files. Detection will be included in the next update. Thank you for your help.

Please quote all when answering.

--
Best regards, Erakhtin Kirill
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/

显示全部楼层 · 发表于 2007-7-5 11:26:07

瑞星病毒查杀结果报告

清除病毒种类列表：
病毒： Worm.Win32.Viking.viv

用户来源：互联网

软件版本：19.30.30

显示全部楼层 · 发表于 2007-7-5 13:39:43

扫描进行于：2007/7/5 13:34:22
扫描日志
NOD32版本 2379 (20070704) NT
命令行： D:\病毒\样本.rar
C:\Program Files\Eset\nod32.exe - 是正常的
1 的MBR区.物理磁盘 - 是正常的
1 的启动引导区.物理磁盘 - 是正常的

日期： 5.7.2007 时间：13:34:23
已开启反隐藏功能.
已扫描的磁盘，文件夹及文件：D:\病毒\样本.rar
D:\病毒\样本.rar >>RAR >>go.exe - Win32/TrojanDownloader.Delf.BHO 木马的变种
D:\病毒\样本.rar >>RAR >>1.exe - Win32/Viking.LU 病毒
D:\病毒\样本.rar:Zone.Identifier - 是正常的
已扫描的文件数目：3
已发现的病毒数目：2
完成时间： 13:34:23 总扫描时间：0 秒 (00:00:00)

显示全部楼层 · 发表于 2007-7-5 14:56:24

2007/7/5 14:55:40 DMON 压缩文件 http://bbs.kafan.cn/attachment.php?aid=96695 多重感染已删除

显示全部楼层 · 发表于 2007-7-5 19:06:46

BitDefender

This web page has been blocked by BitDefender Antivirus Real-time Protection!

The blocked web page included objects that were either infected or likely to be infected with a virus. Your system has NOT been infected.
Win32.Worm.Viking.IZ
BehavesLike:Win32.ExplorerHijack

显示全部楼层 · 发表于 2007-7-5 19:27:59

样本.rar\go.exe;D:\Documents and Settings\dell\桌面\样本.rar;BackDoor.WebDor;;
样本.rar\1.exe;D:\Documents and Settings\dell\桌面\样本.rar;Win32.HLLW.Gavir.72;;
样本.rar;D:\Documents and Settings\dell\桌面;Archive contains infected objects;;

[病毒样本] 大清早来两个[MD5: 2156E3 65E43D]

本帖子中包含更多资源

本帖子中包含更多资源