刚抓的一个[MD5: D450F8]

显示全部楼层 · 发表于 2007-7-16 18:30:43

原帖由 promised 于 2007-7-16 17:55 发表
没死
这东西那么多动作
居然说死了

显示全部楼层 · 发表于 2007-7-16 18:32:44

运行错误就死了吗？
我等下贴动作上来

显示全部楼层 · 发表于 2007-7-16 18:34:46

显示全部楼层 · 发表于 2007-7-16 18:35:01

有动作就是活的吗？

假使安装文件往temp下扔几个东西就是病毒吗？

显示全部楼层 · 发表于 2007-7-16 18:36:04

没改我系统的时间。

显示全部楼层 · 发表于 2007-7-16 18:47:03

先改系统时间
访问物理内存
C盘创建AUTORUN.inf，XXX.NDS
删除XXX.NDS创建EXE文件
然后N多地方创建AUTORUN.INF和对应的EXE文件
前面EQ日志丢了

[ 本帖最后由 promised 于 2007-7-16 18:52 编辑 ]

显示全部楼层 · 发表于 2007-7-16 18:54:54

===================================================================================================
NVCOD On Demand Scanner 5.80.02

NSE revision 5.91.02
nvcbin.def revision 5.90.00 of 2007/07/13 18:54:26 (807131 variants)
nvcmacro.def revision 5.90.00 of 2007/06/29 06:32:19 (20341 variants)
Total number of variants: 827472
Command line: "@C:\Users\Jason\AppData\Local\Temp\~ODC545.tmp"
===================================================================================================

   Time  Filename                                                    Virus name
---------------------------------------------------------------------------------------------------
- Scanning files in the directory: D:\virus\
   214 ms D:\virus\quake4.exe                                        Security Risk Suspicious_F.gen ()
- File D:\virus\quake4.exe quarantined.
- File D:\virus\quake4.exe deleted.

===================================================================================================

The scanning started: 2007/07/16 18:43:32
            ended: 2007/07/16 18:43:32
Logged on as       : Jason
on hostname       : JASON-PC

Scanning results:
Total number of files found..............................:    1
Number of files scanned..................................:    1
Number of files/directories skipped due to exclude list..:    0
Number of files that could not be opened.................:    0
Number of archive files unpacked.........................:    0
Number of archive files not unpacked.....................:    0
Number of infections.....................................:    1

Copyright (c) 1993-2005 Norman ASA.

显示全部楼层 · 发表于 2007-7-16 19:02:15

关 RD
2007-07-16 18:59:10       运行应用程序
操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:C:\Program Files\WinRAR\WinRAR.exe
2007-07-16 18:59:17       运行应用程序
操作:允许
进程路径:C:\Program Files\WinRAR\WinRAR.exe
文件路径:C:\ABC\样本\quake4.exe
2075-06-10 18:59:27       访问物理内存
操作:允许
进程路径:C:\ABC\样本\quake4.exe
2075-06-10 18:59:27       访问物理内存
操作:允许
进程路径:C:\ABC\样本\quake4.exe2075-06-10 18:59:28       访问物理内存
操作:允许
进程路径:C:\ABC\样本\quake4.exe
1993-03-31 18:59:29       创建文件
操作:允许
进程路径:C:\ABC\样本\quake4.exe
文件路径:C:\autorun.inf1993-03-31 18:59:30       运行应用程序
操作:允许
进程路径:C:\windows\system32\net.exe
文件路径:C:\WINDOWS\system32\conime.exe
1993-03-31 18:59:32       创建文件
操作:允许
进程路径:C:\ABC\样本\quake4.exe
文件路径:C:\ver.nds1993-03-31 18:59:34       创建文件
操作:允许
进程路径:C:\ABC\样本\quake4.exe
文件路径:C:\Documents and Settings\promised_2\「开始」菜单\程序\启动\winword.exe
1993-03-31 18:59:34       修改文件
操作:阻止
进程路径:C:\ABC\样本\quake4.exe
文件路径:C:\Documents and Settings\promised_2\「开始」菜单\程序\启动\winword.exe
1993-03-31 18:59:36       创建文件
操作:允许
进程路径:C:\ABC\样本\quake4.exe
文件路径:C:\windows\system32\quake4.exe
1993-03-31 18:59:36       修改文件
操作:阻止
进程路径:C:\ABC\样本\quake4.exe
文件路径:C:\windows\system32\quake4.exe
1993-03-31 18:59:37       创建文件
操作:允许
进程路径:C:\ABC\样本\quake4.exe
文件路径:C:\quake3.exe
1993-03-31 18:59:37       修改文件
操作:阻止
进程路径:C:\ABC\样本\quake4.exe
文件路径:C:\quake3.exe
2075-06-10 18:59:52       访问物理内存
操作:阻止
进程路径:c:\quake3.exe
2075-06-10 18:59:54       访问物理内存
操作:阻止
进程路径:c:\quake3.exe
2075-06-10 18:59:59       访问物理内存
操作:阻止
进程路径:c:\quake3.exe
2075-06-10 19:00:02       运行应用程序
操作:允许
进程路径:c:\quake3.exe
文件路径:C:\WINDOWS\system32\net.exe
其实后面还有很多，只不过被我阻止后就终止了

[ 本帖最后由 promised 于 2007-7-16 19:25 编辑 ]

显示全部楼层 · 发表于 2007-7-16 19:07:50

我们但看RD
主页劫持:
1993-03-31 19:08:44 修改注册表内容
操作:阻止
进程路径:c:\quake3.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
注册表名称:Start Page
1993-03-31 19:08:44 修改注册表内容
操作:阻止
进程路径:C:\ABC\样本\quake4.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
注册表名称:Start Page
镜像劫持:
1993-03-31 19:06:06       修改注册表内容
操作:阻止
进程路径:c:\quake3.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sreng.exe
注册表名称:Debugger
1993-03-31 19:06:06       修改注册表内容
操作:阻止
进程路径:c:\quake3.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autoruns.exe
注册表名称:Debugger
1993-03-31 19:06:06       修改注册表内容
操作:阻止
进程路径:C:\ABC\样本\quake4.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
注册表名称:Hidden
1993-03-31 19:06:01       修改注册表内容
操作:阻止
进程路径:c:\quake3.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvxp.kxp
注册表名称:Debugger
1993-03-31 19:06:02       修改注册表内容
操作:阻止
进程路径:C:\ABC\样本\quake4.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wuauserv
注册表名称:ImagePath
1993-03-31 19:06:02       修改注册表内容
操作:阻止
进程路径:C:\ABC\样本\quake4.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:runeip

等等
...........................劫持了一堆

居然有人说死了。。。。。
重启去了

[ 本帖最后由 promised 于 2007-7-16 19:20 编辑 ]

显示全部楼层 · 发表于 2007-7-16 19:10:48

我阻止它改系统时间，这家伙就挂了。。

[病毒样本] 刚抓的一个[MD5: D450F8]

本帖子中包含更多资源

回复 #11 aerbeisi 的帖子

最起码应该改了系统时间了吧。。

回复 #12 promised 的帖子

回复 #13 蓝色牛仔裤的帖子