小宝MD5不少了

显示全部楼层 · 发表于 2007-7-12 10:12:01

運行xy.exe，發現下列行為，被EQ-Secure RC4攔截！

2007-07-12 10:04:11 创建文件    操作:允许
进程路径:D:\桌面\virus\5\xy.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micro.exe
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*

2007-07-12 10:04:14 运行应用程序    操作:允许
进程路径:D:\桌面\virus\5\xy.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micro.exe
触发规则:所有程序规则->*

2007-07-12 10:04:14 创建文件    操作:允许
进程路径:D:\桌面\virus\5\xy.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\Deleteme.bat
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*

2007-07-12 10:04:14 修改注册表内容    操作:阻止
进程路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micro.exe
注册表路径:HKEY_CURRENT_USER\machine\SYSTEM\CurrentControlSet\Services\SbieSvc
注册表名称:SandboxedServices
注册表数据:*icro
触发规则:所有程序规则->2.1.2组：保护系统服务和驱动，禁止更改用户权限->*\SYSTEM\CurrentControlSet*\Services

2007-07-12 10:04:16 修改注册表内容    操作:阻止
进程路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micro.exe
注册表路径:HKEY_CURRENT_USER\machine\SYSTEM\CurrentControlSet\Services\micro
注册表名称:Type
触发规则:所有程序规则->2.1.2组：保护系统服务和驱动，禁止更改用户权限->*\SYSTEM\CurrentControlSet*\Services

2007-07-12 10:04:19 修改文件    操作:允许
进程路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micro.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\Deleteme.bat
触发规则:所有程序规则->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*

2007-07-12 10:04:19 运行应用程序    操作:阻止
进程路径:D:\桌面\virus\5\xy.exe
文件路径:C:\windows\system32\cmd.exe
命令行:/c C:\windows\system32\Deleteme.bat
触发规则:黑名单->防卸规则->*\cmd.exe

2007-07-12 10:04:19 运行应用程序    操作:阻止
进程路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\micro.exe
文件路径:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\cmd.exe
命令行:/c C:\windows\system32\Deleteme.bat
触发规则:黑名单->防卸规则->*\cmd.exe

1.他會在C\windows\system32\生成並運行
micro.exe
2.他會在C\windows\system32\生成
Deleteme.bat
3.micro.exe會修改注册表内容
HKEY_CURRENT_USER\machine\SYSTEM\CurrentControlSet\Services\SbieSvc
SandboxedServices
*icro
HKEY_CURRENT_USER\machine\SYSTEM\CurrentControlSet\Services\micro
Type
4.micro.exe會修改C\windows\system32\Deleteme.bat
5.他會運行C:\windows\system32\cmd.exe
/c C:\windows\system32\Deleteme.bat
6.micro.exe會運行C\windows\system32\cmd.exe
/c C:\windows\system32\Deleteme.bat

显示全部楼层 · 发表于 2007-7-12 10:20:26

C:\Documents and Settings\lq-1\桌面\5.zip>>123.ex
e>>avp.exe　Trojan.BAT.Agent.v
C:\Documents and Settings\lq-1\桌面\5.zip>>my.exe
>>fsg2.0　　　Trojan.PSW.Win32.RocOnline.y

显示全部楼层 · 发表于 2007-7-12 10:34:00

该死，垃圾瑞星竟然能杀出14个

显示全部楼层 · 发表于 2007-7-12 10:54:19

AVK直接拦截

显示全部楼层 · 发表于 2007-7-12 16:02:55

扫描开始时间: 2007-7-12 16:02:54
扫描日志
NOD32 版本 2394 (20070711) NT
命令行: F:\virus\555.zip

日期: 2007年7月12日时间: 16:02:55
反 Rookits 技术已启用。
已扫描磁盘、文件夹和文件: F:\virus\555.zip
F:\virus\555.zip ?ZIP ?myself.exe<病毒 - 可能是 Win32/Genetik 木马变种>
F:\virus\555.zip ?ZIP ?par.exe<病毒 - 可能是 Win32/Agent.NEO 木马变种>
F:\virus\555.zip ?ZIP ?xy.exe<病毒 - Win32/TrojanDownloader.Delf.BHO 木马>
已扫描文件数量: 5
已发现病毒数量: 3
完成时间: 16:02:58 总共扫描时间: 3 秒 (00:00:03)

显示全部楼层 · 发表于 2007-7-13 13:14:56

C:\Documents and Settings\uhthn\Desktop\5.zip\<ZIP>:123.exe;;Infected;;;
C:\Documents and Settings\uhthn\Desktop\5.zip\<ZIP>:123.exe\<CAB>:avp.exe;;Infected;Trojan.MulDrop.6952;;
C:\Documents and Settings\uhthn\Desktop\5.zip\<ZIP>:123.exe\<CAB>:molebox.exe;;Infected;MalwareScope.Trojan-PSW.Game.19;;
C:\Documents and Settings\uhthn\Desktop\5.zip\<ZIP>:my.exe;;Suspicious;Trojan-PSW.Game.24 (paranoid heuristics);;
C:\Documents and Settings\uhthn\Desktop\5.zip\<ZIP>:myself.exe;;Suspicious;Trojan-PSW.Game.38 (paranoid heuristics);;
C:\Documents and Settings\uhthn\Desktop\5.zip\<ZIP>:par.exe;;Suspicious;Trojan-PSW.Game.63 (paranoid heuristics);;
C:\Documents and Settings\uhthn\Desktop\5.zip\<ZIP>:xy.exe;;Infected;MalwareScope.Trojan-PSW.Game.19;;

[病毒样本] 小宝MD5不少了

本帖子中包含更多资源