过360主防云鉴定

chihhua

Gen:Variant.Kazy.22059 (引擎A), Win32:Malware-gen (引擎B)

chihhua

Gen:Variant.Kazy.22059 (引擎A),

liulangzhecgr

2011-9-6 06:53:37    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\样本\样本\1.exe
命令行: "E:\downloads\样本\样本\1.exe"
规则: [应用程序]*

2011-9-6 06:53:43    创建文件夹    允许
进程: e:\downloads\样本\样本\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\IXP000.TMP
规则: [文件]*

2011-9-6 06:53:49    创建文件    允许
进程: e:\downloads\样本\样本\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\IXP000.TMP\TMP4351$.TMP
规则: [文件]*

2011-9-6 06:53:56    创建文件    允许
进程: e:\downloads\样本\样本\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\IXP000.TMP\ss2.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-9-6 06:54:00    创建文件    允许
进程: e:\downloads\样本\样本\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\IXP000.TMP\READAN~1.EXE
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-9-6 06:54:24    修改注册表值    阻止
进程: e:\downloads\样本\样本\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\wextract_cleanup0
值: rundll32.exe C:\WINDOWS\system32\advpack.dll,DelNodeRunDLL32 "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\"
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\*

2011-9-6 06:54:29    创建新进程    允许
进程: e:\downloads\样本\样本\1.exe
目标: c:\documents and settings\administrator\local settings\temp\ixp000.tmp\ss2.exe
命令行: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\ss2.exe
规则: [应用程序]*





2011-9-6 06:54:43    结束其他进程    允许
进程: e:\downloads\样本\样本\1.exe
目标: c:\documents and settings\administrator\local settings\temp\ixp000.tmp\ss2.exe
规则: [应用程序]*

2011-9-6 06:55:30    删除文件    允许
进程: e:\downloads\样本\样本\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\IXP000.TMP\READAN~1.EXE
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-9-6 06:55:32    删除文件    允许
进程: e:\downloads\样本\样本\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\IXP000.TMP\ss2.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-9-6 06:55:33    删除文件夹    允许
进程: e:\downloads\样本\样本\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\IXP000.TMP
规则: [文件]*

2011-9-6 06:55:35    删除注册表值    允许
进程: e:\downloads\样本\样本\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\wextract_cleanup0
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\*

wqcaokeyinwq

实机测试。。。。。。。。。。。。。
金山卫士秒杀。。。。。。。。。。。
微点扫描秒杀。。。。。。。。。。。。。。
为了测试主防。。继续双击。。。。。。。。。。（退出金山卫士）。。
发现程序启动后生成几个衍生物。。。。。但母体与衍生物都自己删除。。。。。。。。没发现修改注册表。。。。。无联网。。。。。。主防沉默。。。。。。。。
目前机器正常。。。。。。。。。。。。。
求解答：这是病毒吗？双击后有什么实质的危害吗？？？？？

jayavira

idp miss

星晨

BitDefender
ss2.exe Gen:Variant.Kazy.22059

一晴空

类别: 密码窃取程序

描述: 这个程序很危险，它捕获用户密码。

建议的操作: 立即删除这个软件。

Forefront Endpoint Protection 检测到可能会侵害您的隐私或损坏计算机的程序。您仍然可以访问这些程序所使用的文件而不删除这些程序(不推荐)。若要访问这些文件，请选择“允许”操作，并单击“应用操作”。如果此选项不可用，请以管理员身份登录或请求安全管理员提供帮助。

项目:
containerfile:D:\My Documents\下载\样本.rar
file:D:\My Documents\下载\样本.rar->样本\1.exe->(WExtract)->ss2.exe->(UPX)

留侯

大蜘蛛clean，文件加了壳：
=D1=F9=B1=BE\1.exe - archive CAB
=D1=F9=B1=BE\1.exe/ss2.exe packed by UPX
=D1=F9=B1=BE\1.exe/ss2.exe - archive BINARYRES
已上报！

qgpl2659

a13648161

现在360又杀了 哎  360的主防也是吹的 被我找到个昨天双击样本主防一点都没提示 就是正常程序，今天就能杀了  主防也是骗骗人的  还不是MSE好  监控直接删除