腳本型網馬，hxxp://viuhe.info/pages.php?login=22759bc74b40ca51

a256886572008

2011-09-23 23:56:12   C:\DOCUME~1\Roger\LOCALS~1\Temp\0.7427157057385211.exe   Sandboxed As   Partially Limited   

2011-09-23 23:56:13   C:\WINDOWS\system32\cmd.exe   Sandboxed As   Partially Limited   

2011-09-23 23:56:15   C:\WINDOWS\system32\reg.exe   Sandboxed As   Partially Limited   

2011-09-23 23:56:15   C:\WINDOWS\system32\attrib.exe   Sandboxed As   Partially Limited   

2011-09-23 23:56:20   C:\WINDOWS\system32\cmd.exe   Modify File   C:\Documents and Settings\Roger\Local Settings\Temp\0.7427157057385211.exe   

2011-09-23 23:56:20   C:\WINDOWS\system32\reg.exe   Modify Key   HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\userinit   

hxxp://viuhe.info/w.php?f=16&e=6

hxxp://viuhe.info/w.php?f=16&e=8

bbs2811125

日期/时间： 2011-9-24 0:08:20
文件名： bbs_kafan_cn
原始路径： F:\Documents and Settings\Administrator\Application Data\IDM\DwnlData\Administrator\bbs_kafan_cn_64\
文件大小： 484.23 KB
病毒名： Trojan-Spy.Agent
建议： 保存与删除
签名ID： 1649126
ikarus kill

瓜皮猫

to eset

Mr.Tong

360 KILL

hx1997

2011-9-24 1:25:12        C:\Documents and Settings\Administrator\桌面\0.7427157057385211.exe        启动新应用程序        C:\WINDOWS\system32\cmd.exe        已允许        002.Scripts
       
2011-9-24 1:25:11        C:\WINDOWS\system32\reg.exe        修改注册表        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\userinit        已阻止        038.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\*       

2011-9-24 1:25:10        C:\Documents and Settings\Administrator\桌面\0.7427157057385211.exe        启动新应用程序        C:\WINDOWS\system32\cmd.exe        已允许        002.Scripts       

2011-9-24 1:25:09        C:\Documents and Settings\Administrator\桌面\0.7427157057385211.exe        启动新应用程序        C:\WINDOWS\system32\cmd.exe        已允许        002.Scripts       

2011-9-24 1:25:08        C:\Documents and Settings\Administrator\桌面\0.7427157057385211.exe        启动新应用程序        C:\WINDOWS\system32\cmd.exe        已允许        002.Scripts       

a256886572008

saga3721

又搞CMD，没门儿

wjcharles

NIS2012 sonar


完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2011/9/24 ( 2:21:04 )
上次使用时间 2011/9/24 ( 2:21:04 )
启动项目 否
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
winrar.exe

创建的文件:
0.7427157057385211.exe
____________________________
文件操作
受感染文件: c:\users\sshss\downloads\0.7427157057385211\0.7427157057385211.exe
已删除
____________________________
系统设置操作
事件: 进程启动 (Performed by c:\users\sshss\downloads\0.7427157057385211\0.7427157057385211.exe, PID:8392)
未采取操作
____________________________
文件指纹 - SHA:
419e485edcee260400805f2095ffb4383df7116a25fdb39b56de17d8fa69ecf0
____________________________
文件指纹 - MD5:
5ffc13a19df960d3638ff3dac3f4d67c
____________________________

samtogo

mse miss ,to mse

留侯

文件加了壳，大蜘蛛：
0.7427157057385211.exe packed by UPX
0.7427157057385211.exe infected with Trojan.Hosts.4561