[MD5: ABBEB3]

a256886572008

運行soft.exe，發現下列行為，被EQ-Secure RC4攔截！

2007-07-10 16:22:42    创建文件      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:42    创建文件      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:43    创建文件      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:43    创建文件      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:43    创建文件      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:43    创建文件      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:43    创建文件      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:43    创建文件      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micors.exe
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:46    运行应用程序      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micors.exe
触发规则:所有程序规则->*


2007-07-10 16:22:46    创建文件      操作:允许
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\Deleteme.bat
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:47    修改文件      操作:允许
进程路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micors.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\Deleteme.bat
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-10 16:22:47    运行应用程序      操作:阻止
进程路径:D:\桌面\virus\ABBEB3\soft.exe
文件路径:C:\windows\system32\cmd.exe
命令行:/c C:\windows\system32\Deleteme.bat
触发规则:黑名单->防卸规则->*\cmd.exe


2007-07-10 16:22:51    运行应用程序      操作:阻止
进程路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micors.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\cmd.exe
命令行:/c C:\windows\system32\Deleteme.bat
触发规则:黑名单->防卸规则->*\cmd.exe

1.他會在C:\windows\system32\生成並運行
   micors.exe
2.他會在C:\windows\system32\生成
   Deleteme.bat
3.micors.exe會修改C:\windows\system32\Deleteme.bat
4.他會運行cmd.exe
   /c C:\windows\system32\Deleteme.bat
5.micors.exe會運行cmd.exe
   /c C:\windows\system32\Deleteme.bat

Deleteme.bat的結構

:try
del "C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micors.exe"
if exist "C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micors.exe" goto try
del %0

woai_jolin

扫描进行于：2007/7/10 17:41:11
扫描日志
NOD32版本 2389 (20070710) NT
命令行： D:\virus\样本.rar
C:\Program Files\Eset\nod32.exe - 是正常的
1 的MBR区.物理磁盘 - 是正常的
1 的启动引导区.物理磁盘 - 是正常的

日期： 10.7.2007  时间：17:41:12
已开启反隐藏功能.
已扫描的磁盘，文件夹及文件：D:\virus\样本.rar
D:\virus\样本.rar >>RAR >>soft.exe - Win32/TrojanDownloader.Delf.BHO 木马的变种
已扫描的文件数目：2
已发现的病毒数目：1
已清除病毒的文件数目：1
完成时间： 17:41:12 总扫描时间：0 秒 (00:00:00)

ccw8642

AVAST杀！

rest1min

KV2007报杀。