測主防，新版 0access

bbs2811125

hx1997 发表于 2011-9-22 23:31
你咋知道的

ESET killed

AVG也kill了

hx1997

DW没见啥危险动作

09.22.2011  23:44:13，模块 C:\WINDOWS\system32\svchost.exe， 1:Process is running untrusted now (进程)

09.22.2011  23:44:13，模块 C:\Documents and Settings\Administrator\桌面\readme.exe， 1:Process is running untrusted now (进程)

hx1997

bbs2811125 发表于 2011-9-22 23:45
AVG也kill了

奇怪了，FS不是BD系的吗？怎么报的不一样？看起来FS的似乎也是BD报法啊。

http://www.virustotal.com/file-s ... 1f00b02b-1316706183

hx1997

23:51:19:169;1444;C:\Documents and Settings\Administrator\桌面\readme.exe;创建新进程;0000003C*;
23:51:19:179;1444;C:\Documents and Settings\Administrator\桌面\readme.exe;进程退出;;
23:51:20:250;1372;C:\WINDOWS\system32\svchost.exe;删除文件;C:\Documents and Settings\Administrator\桌面\readme.exe;
23:51:20:280;1372;C:\WINDOWS\system32\svchost.exe;创建注册表键;键: HKLM\SOFTWARE\Classes\Interface\{850b4fc8-e2ac-20fe-0a64-10cb6c45d939};
23:51:20:280;1372;C:\WINDOWS\system32\svchost.exe;设置注册表键值;键: HKLM\SOFTWARE\Classes\Interface\{850b4fc8-e2ac-20fe-0a64-10cb6c45d939}键值: u数据: 169;
23:51:20:290;1372;C:\WINDOWS\system32\svchost.exe;设置注册表键值;键: HKLM\SOFTWARE\Classes\Interface\{850b4fc8-e2ac-20fe-0a64-10cb6c45d939}键值: cid数据: 6698256719441635338;
23:51:20:300;1372;C:\WINDOWS\system32\svchost.exe;创建目录;C:\WINDOWS\$NtUninstallKB52279$;
23:51:20:300;1372;C:\WINDOWS\system32\svchost.exe;创建文件;C:\WINDOWS\$NtUninstallKB52279$\3093770322;
23:51:20:310;1372;C:\WINDOWS\system32\svchost.exe;创建目录;C:\WINDOWS\$NtUninstallKB52279$\3747933356;
23:51:20:310;1372;C:\WINDOWS\system32\svchost.exe;创建文件;C:\WINDOWS\$NtUninstallKB52279$:SummaryInformation;
23:51:20:330;1372;C:\WINDOWS\system32\svchost.exe;改变文件属性;C:\WINDOWS\$NtUninstallKB52279$;
23:51:20:440;1372;C:\WINDOWS\system32\svchost.exe;创建注册表键;键: HKLM\SYSTEM\ControlSet001\Services\.afd;
23:51:20:450;1372;C:\WINDOWS\system32\svchost.exe;设置注册表键值;键: HKLM\SYSTEM\ControlSet001\Services\.afd键值: Type数据: 1;
23:51:20:450;1372;C:\WINDOWS\system32\svchost.exe;设置注册表键值;键: HKLM\SYSTEM\ControlSet001\Services\.afd键值: Start数据: 3;
23:51:20:460;1372;C:\WINDOWS\system32\svchost.exe;设置注册表键值;键: HKLM\SYSTEM\ControlSet001\Services\.afd键值: ImagePath数据: \?;
23:51:20:460;1372;C:\WINDOWS\system32\svchost.exe;创建远程线程(G14);C:\WINDOWS\system32\winlogon.exe;
23:51:20:460;1372;C:\WINDOWS\system32\svchost.exe;创建远程线程;C:\WINDOWS\system32\winlogon.exe;
23:51:20:530;1372;C:\WINDOWS\system32\svchost.exe;加载驱动;C:\?;
23:51:20:811;1372;C:\?;删除注册表键;键: HKLM\SYSTEM\ControlSet001\Services\.afd\Enum;
23:51:20:811;1372;C:\?;删除注册表键;键: HKLM\SYSTEM\ControlSet001\Services\.afd;
23:51:20:811;1372;C:\?;删除注册表键;键: HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_.AFD\0000\Control;
23:51:20:811;1372;C:\?;删除注册表键;键: HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_.AFD\0000;
23:51:20:811;1372;C:\?;删除注册表键;键: HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_.AFD;
23:51:20:821;1372;C:\WINDOWS\system32\svchost.exe;创建文件;C:\WINDOWS\$NtUninstallKB52279$\3747933356\L\hmeocrji;
23:51:20:961;1372;C:\WINDOWS\system32\svchost.exe;修改文件;C:\WINDOWS\$NtUninstallKB52279$\3747933356\L\hmeocrji;
23:51:21:041;1372;C:\WINDOWS\system32\svchost.exe;创建文件;C:\WINDOWS\$NtUninstallKB52279$\3747933356\@;
23:51:21:071;1372;C:\WINDOWS\system32\svchost.exe;修改文件;C:\WINDOWS\$NtUninstallKB52279$\3747933356\@;
23:51:22:203;1372;C:\WINDOWS\system32\svchost.exe;进程退出;;
23:51:22:403;未知;未知;安装内联钩子;源地址:  0x804EF549 目标地址:  0xF5255865;

saga3721

hx1997 发表于 2011-9-22 23:46
DW没见啥危险动作

注入哦，别是已经中招了吧

hx1997

saga3721 发表于 2011-9-22 23:55
注入哦，别是已经中招了吧

看了下没有病毒进程，DW日志也没反映什么，真是奇怪了。

虚拟机试毒中招也没关系。

zhen2zhen

病毒: Trojan.Generic.KD.362670 (引擎A)
文件: bbs_kafan_cn
目录: C:\Users\frankstein\AppData\Roaming\IDM\DwnlData\frankstein\bbs_kafan_cn_422
进程: IDMan.exe

嘻嘻  GDDATA

hx1997

XT可以发现新版ZAccess

hx1997

是ZAccess减弱了还是XT加强了？现在XT可以直接结束ZAccess进程了。

saga3721

hx1997 发表于 2011-9-23 00:00
XT可以发现新版ZAccess

那你是真的中招了，在虚拟机中？