hxxp://tompedurante.com/d.php?f=18&e=6j

liulangzhecgr

hddu 发表于 2011-8-28 15:18
2011-08-28 15:11:53    运行应用程序      操作:允许
进程路径:F:\virus\readme\readme.exe
文件路径:C: ...

我没有看出加载驱动... ...

xiaoluo

COMODO 5.3 ，禁用了沙盘。
运行后等了不下10 分钟，日志只有一个：修改：\Global??\FltMgrMsg

也没发现系统异常。我是不是哪完了。

szh

xiaoluo 发表于 2011-8-30 14:44
COMODO 5.3 ，禁用了沙盘。
运行后等了不下10 分钟，日志只有一个：修改：\Global??\FltMgrMsg

我也手贱了一下，单开COMODO，运行没有任何提示。 现在想知道如何彻底清除？

xiaoluo

szh 发表于 2011-9-3 08:37
我也手贱了一下，单开COMODO，运行没有任何提示。 现在想知道如何彻底清除？

我这里应该是COMODO 阻止了，没有日志记录。你那个也许和我一样。

szh

xiaoluo 发表于 2011-9-3 10:18
我这里应该是COMODO 阻止了，没有日志记录。你那个也许和我一样。

COMODO确实没有拦截。日志中也没有任何记录。

刚才下载了一个数字卫士，现在已经清理完毕。

一直对COMODO很是信任，没想到

看来单奔毛豆并不可靠。

xiaoluo

szh 发表于 2011-9-3 10:36
COMODO确实没有拦截。日志中也没有任何记录。

刚才下载了一个数字卫士，现在已经清理完毕。

那应该是你的规则问题了。我这无问题。

zxzy

2011/9/3 21:16:28    创建文件    允许
进程: c:\users\administrator\desktop\readme\readme.exe
目标: C:\Users\Administrator\AppData\Local\Temp\tsndofmmqahsaari.exe
规则: [文件组]询问-考虑秒杀 -> [文件]*\temp\*; *.exe

2011/9/3 21:16:31    修改文件    允许
进程: c:\users\administrator\desktop\readme\readme.exe
目标: C:\Users\Administrator\AppData\Local\Temp\tsndofmmqahsaari.exe
规则: [文件组]询问-考虑秒杀 -> [文件]*\temp\*; *.exe

2011/9/3 21:16:32    创建新进程    阻止
进程: c:\users\administrator\desktop\readme\readme.exe
目标: c:\windows\system32\svchost.exe
命令行: C:\Windows\system32\svchost.exe
规则: [应用程序]* -> [子应用程序]系统-系统程序组(MD自带)

2011/9/3 21:16:45    创建新进程    允许
进程: c:\users\administrator\desktop\readme\readme.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe"
规则: [应用程序]*

2011/9/3 21:16:45    创建新进程    阻止
进程: c:\users\administrator\desktop\readme\readme.exe
目标: c:\windows\system32\svchost.exe
命令行: C:\Windows\system32\svchost.exe
规则: [应用程序]* -> [子应用程序]系统-系统程序组(MD自带)

2011/9/3 21:16:46    修改其他进程的内存    阻止并结束进程
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\system32\wininit.exe
规则: [应用程序]* -> [目标应用程序]系统-系统程序组(MD自带)

2011/9/3 21:16:59    创建新进程    允许
进程: c:\users\administrator\desktop\readme\readme.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe"
规则: [应用程序]*

2011/9/3 21:16:59    修改注册表值    阻止
进程: c:\program files\internet explorer\iexplore.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\CnsInome
值: C:\Users\Administrator\AppData\Local\whbvdldn\cnsinome.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2011/9/3 21:16:59    删除注册表项    阻止并结束进程
进程: c:\program files\internet explorer\iexplore.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network
规则: [应用程序组]开关-秒杀开关 -> [注册表组]秒杀-秒杀类型 -> [注册表]*\SYSTEM\CurrentControlSet\Control\SafeBoot\*

2011/9/3 21:17:20    创建新进程    允许
进程: c:\users\administrator\desktop\readme\readme.exe
目标: c:\users\administrator\appdata\local\temp\tsndofmmqahsaari.exe
命令行: "C:\Users\ADMINI~1\AppData\Local\Temp\tsndofmmqahsaari.exe"
规则: [应用程序]* -> [子应用程序]询问-高危目录

2011/9/3 21:17:24    创建文件    允许
进程: c:\users\administrator\appdata\local\temp\tsndofmmqahsaari.exe
目标: C:\Users\Administrator\AppData\Local\Temp\myqpqliq.sys
规则: [文件组]询问-考虑秒杀 -> [文件]*\temp\*; *.sys

2011/9/3 21:17:24    安装驱动程序或服务    阻止并结束进程
进程: c:\users\administrator\appdata\local\temp\tsndofmmqahsaari.exe
目标: Micorsoft Windows Service
文件路径: C:\Users\ADMINI~1\AppData\Local\Temp\myqpqliq.sys
规则: [应用程序]*

这病毒经典。

Kevin_Memo

bbs2811125 发表于 2011-8-28 14:52
ESET拦截，潜在不受欢迎程序变种

和你不一样~

bbs2811125

Kevin_Memo 发表于 2011-9-3 21:47
和你不一样~

可能是病毒库改了吧。或者是入库了