可疑文件. 有人在QQ上给我发过来让我双击打开看

Nocria

夜ㄝ殇

Q管杀

K_Ghost!

这作者写Delphi的还把自己博客写程序里了...我表示无语

qianyuqx

to mse

xiaozi55

金山报毒

hsh56

被我的红伞消灭了

sanhu35

应该是QQ群发

lotnhiro

KIS 鉴定完毕， 木马程序

抱金砖

圣琴士 发表于 2011-10-20 22:28
估计是盗号的吧?
我主机没有运行,在虚拟机里面运行的.虚拟机里面没有QQ.
现在主机的这个文件已经删除了 ...

除非有漏洞  比如上次那个lnk漏洞.. 无需运行就自动激活...貌似利用系统运行机制...
或者什么自解压内含有自动运行的执行命令
否则没什么问题 只要你没双击运行

qq541471559

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-10-14 20:07:32    访问COM接口    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: {871C5380-42A0-1069-A2EA-08002B30309D}
文件路径: %SystemRoot%\system32\shdocvw.dll
规则: [应用程序]* -> [COM接口]{871C5380-42A0-1069-A2EA-08002B30309D}

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-10-14 20:07:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-10-14 20:07:32    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{c8943c32-f690-11e0-a26b-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-10-14 20:07:32    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{c8943c30-f690-11e0-a26b-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-10-14 20:07:33    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\shimgvw.dll
值: Windows 图片和传真查看器
规则: [注册表]*

2011-10-14 20:07:33    创建新进程    阻止
进程: c:\documents and settings\administrator\桌面\像片13.exe
目标: c:\windows\system32\rundll32.exe
命令行: "rundll32.exe" C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\Documents and Settings\Administrator\桌面\图片.jpg
规则: [应用程序]* -> [子应用程序]c:\windows\*

附上生成小照片一张