svchost.exe & update.exe

留侯

大蜘蛛：
TDDOWNLOAD\svchost.exe 已感染：  Trojan.BtcMine.12
TDDOWNLOAD\update.exe 已打包，方式： MPRESS
TDDOWNLOAD\update.exe 已感染：  Trojan.PWS.Spy.11887

chihhua

GenPack:Trojan.Generic.6460702,
Gen:Variant.Kazy.38907 (引擎A),
Win32:Flooder-GR [Trj] (引擎B)

qianyuqx

nis kill

will

伞清空~

hddu

2011-10-01 21:47:55    创建文件      操作:允许
进程路径:F:\virus\TDDOWNLOAD\update.exe
文件路径:C:\WINDOWS\system32\Windupdt
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2011-10-01 21:47:55    创建文件      操作:允许
进程路径:F:\virus\TDDOWNLOAD\update.exe
文件路径:C:\WINDOWS\system32\Windupdt\winupdate.exe
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2011-10-01 21:47:57    创建注册表值      操作:阻止
进程路径:F:\virus\TDDOWNLOAD\update.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:winupdater
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2011-10-01 21:47:57    修改注册表内容      操作:使用任务隔离区操作
进程路径:F:\virus\TDDOWNLOAD\update.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表名称:UserInit
更改后:C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\Windupdt\winupdate.exe
更改前:C:\WINDOWS\system32\userinit.exe,
触发规则:应用程序规则->WinLogon设置->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon*


2011-10-01 21:47:58    修改文件      操作:阻止
进程路径:F:\virus\TDDOWNLOAD\update.exe
文件路径:(隐藏文件)C:\WINDOWS\system32\Windupdt
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2011-10-01 21:47:58    运行应用程序      操作:阻止
进程路径:F:\virus\TDDOWNLOAD\update.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/k attrib "F:\virus\TDDOWNLOAD\update.exe" +s +h
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2011-10-01 21:47:58    运行应用程序      操作:阻止
进程路径:F:\virus\TDDOWNLOAD\update.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/k attrib "F:\virus\TDDOWNLOAD" +s +h
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2011-10-01 21:47:58    运行应用程序      操作:允许
进程路径:F:\virus\TDDOWNLOAD\update.exe
文件路径:C:\WINDOWS\system32\Windupdt\winupdate.exe
触发规则:应用程序规则->自动创建规则->?:\*


2011-10-01 21:48:00    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\Windupdt\winupdate.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:winupdater
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2011-10-01 21:48:00    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\Windupdt\winupdate.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
注册表名称:AntiVirusDisableNotify
更改后:1
触发规则:所有程序规则->其他重要项->HKEY_LOCAL_MACHINE\Software\Microsoft\Security center


2011-10-01 21:48:01    运行应用程序      操作:允许
进程路径:F:\virus\TDDOWNLOAD\update.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/k ping 127.0.0.1 -n 5 > NUL&del "F:\virus\TDDOWNLOAD\update.exe"
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2011-10-01 21:48:08    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\TDDOWNLOAD\update.exe
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->?:\*

XMonster

KSOS 清空

吴伟宁

微点killed 1X

chihhua

GenPack:Trojan.Generic.6460702, Gen:Variant.Kazy.38907 (引擎A),
Win32:Flooder-GR [Trj], Win32:Malware-gen (引擎B)