測主防，winlocker

方鸿渐

绅博周幸 发表于 2011-8-23 11:54
已经联系金山工程师和正奇来救你

额，不用了，我进到Win7里直接把病毒程序给删了，进Win7的时候也不小心双击了病毒文件，不过用进程管理器就能结束，看来这木马也只能在XP系统里发威了……

星晨

BitDefender
file.exe Trojan.Generic.KD.329184

hddu

2011-08-23 13:42:00    修改文件      操作:允许
进程路径:F:\virus\file\file.exe
文件路径:F:\virus\file\file.exe
触发规则:应用程序规则->其它文件设置->F:\*->F:\*.exe


2011-08-23 13:42:00    创建文件      操作:允许
进程路径:F:\virus\file\file.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\jashla.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2011-08-23 13:42:01    运行应用程序      操作:允许
进程路径:F:\virus\file\file.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\jashla.exe
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-23 13:42:03    运行应用程序      操作:允许
进程路径:F:\virus\file\file.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c "for /L %i in (0,1,100000000) do (del "F:\virus\file\file.exe"  && if not exist "F:\virus\file\file.exe" exit 1)"
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2011-08-23 13:42:06    修改注册表内容      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\jashla.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表名称:Shell
更改后:C:\Documents and Settings\Administrator\Application Data\jashla.exe
更改前:Explorer.exe
触发规则:应用程序规则->WinLogon设置->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon


2011-08-23 13:42:06    结束/挂起线程      操作:阻止并结束进程
进程路径:C:\Documents and Settings\Administrator\Application Data\jashla.exe
目标进程:C:\WINDOWS\explorer.exe
触发规则:所有程序规则->系统进程设置->%windir%\Explorer.EXE


2011-08-23 13:42:06    结束/挂起线程      操作:阻止并结束进程
进程路径:C:\Documents and Settings\Administrator\Application Data\jashla.exe
目标进程:C:\WINDOWS\explorer.exe
触发规则:所有程序规则->系统进程设置->%windir%\Explorer.EXE


2011-08-23 13:42:06    结束/挂起线程      操作:阻止并结束进程
进程路径:C:\Documents and Settings\Administrator\Application Data\jashla.exe
目标进程:C:\WINDOWS\explorer.exe
触发规则:所有程序规则->系统进程设置->%windir%\Explorer.EXE


2011-08-23 13:42:06    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\file\file.exe
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->?:\*

hj5abc

方鸿渐 发表于 2011-8-23 12:20
额，不用了，我进到Win7里直接把病毒程序给删了，进Win7的时候也不小心双击了病毒文件，不过用进程管理器 ...

你开了UAC么？如果开的话你开到几级？我这里默认级别UAC，运行后被占满，注销也进去后也不能操作。没试重启。

xxss

微点主防杀

hzz2009

猎豹云安全，报右键

blue_仰望

qzmxy2006 发表于 2011-8-23 11:12
avira miss

乃换avira了？

blue_仰望

nis2012秒杀
…………………………

qzmxy2006

lniwn 发表于 2011-8-23 15:49
乃换avira了？

虚拟机里用的avira

方鸿渐

hj5abc 发表于 2011-8-23 13:58
你开了UAC么？如果开的话你开到几级？我这里默认级别UAC，运行后被占满，注销也进去后也不能操作。没试重 ...

我的只要运行任务管理器就能显示，直接删进程就可以，我的UAC也是默认级别的。