收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 下載TDSS ，破壞 快捷文件，隱藏所有文件
1234下一页
返回列表 发新帖
楼主: a256886572008
 收起左侧

[病毒样本] 下載TDSS ，破壞 快捷文件，隱藏所有文件

  [复制链接]
DPT1
发表于 2011-10-29 12:10:37 | 显示全部楼层
金山

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

hddu
发表于 2011-10-29 13:11:14 | 显示全部楼层
2011-10-29 13:04:15    运行应用程序      操作:阻止
进程路径:F:\virus\calc\486.tmp.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\flashupdate.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\10.tmp
触发规则:所有程序规则->其它程序设置->*\Temp\*


2011-10-29 13:06:07    运行应用程序      操作:阻止
进程路径:F:\virus\calc\485.tmp.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\flashupdate.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\11.tmp
触发规则:所有程序规则->其它程序设置->*\Temp\*


2011-10-29 13:08:05    修改注册表内容      操作:阻止并结束进程
进程路径:F:\virus\calc\calc.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
注册表名称:DisableTaskMgr
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\CurrentVersion\Policies\system


2011-10-29 13:08:05    创建注册表值      操作:阻止并结束进程
进程路径:F:\virus\calc\calc.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
注册表名称:DisableTaskMgr
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\CurrentVersion\Policies\system

回复

举报

hddu
发表于 2011-10-29 13:14:20 | 显示全部楼层
2011-10-29 13:06:07    运行应用程序      操作:阻止
进程路径:F:\virus\calc\485.tmp.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\flashupdate.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\11.tmp
触发规则:所有程序规则->其它程序设置->*\Temp\*

允许了，MBR被修改。
回复

举报

-oAo-
发表于 2011-10-29 13:26:04 | 显示全部楼层
360报木马

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

li13911
发表于 2011-10-29 15:56:27 | 显示全部楼层
502 Bad Gateway怎么下载不小附件？？
回复

举报

jbng
发表于 2011-10-29 16:05:26 | 显示全部楼层
AVG kill 3

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

liulangzhecgr
发表于 2011-10-30 18:18:51 | 显示全部楼层
tdss有破坏行为？！ 难道变种？！
回复

举报

liulangzhecgr
发表于 2011-10-31 08:13:15 | 显示全部楼层
calc.exe 运行...哈哈！重做系统(用 ghost)->嘿嘿！穿还原... ...！
回复

举报

sanhu35
发表于 2011-10-31 08:15:53 | 显示全部楼层
hddu 发表于 2011-10-29 13:14
**** 作者被禁止或删除 内容自动屏蔽 ****

EQ嘛？
回复

举报

liulangzhecgr
发表于 2011-10-31 08:44:10 | 显示全部楼层
本帖最后由 liulangzhecgr 于 2011-10-31 09:42 编辑

文件: E:\downloads\calc\485.tmp
大小: 327680 字节
文件版本: 2.R218.61307T RC2.198e alph
修改时间: 2011年10月29日 星期六, 上午 10:43:17
MD5: 00F39660DBB67D439FBF25D09E93E277
SHA1: BAEA392DFB62C362556F1CB92BF1A321D5BE8614
CRC32: B4C418A3

文件: E:\downloads\calc\486.tmp
大小: 327680 字节
文件版本: 2.R218.61307T RC2.198e alph
修改时间: 2011年10月29日 星期六, 上午 10:43:22
MD5: 00F39660DBB67D439FBF25D09E93E277
SHA1: BAEA392DFB62C362556F1CB92BF1A321D5BE8614
CRC32: B4C418A3

--------------------------------------------------------------------------------------------------------------
2011-10-31 08:44:47    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\calc\485.tmp.exe
命令行: "E:\downloads\calc\485.tmp.exe"
规则: [应用程序]*

2011-10-31 08:45:00    创建文件    允许
进程: e:\downloads\calc\485.tmp.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\flashupdate.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-10-31 08:45:04    创建文件    允许
进程: e:\downloads\calc\485.tmp.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\3.tmp
规则: [文件]*

2011-10-31 08:45:10    修改文件    允许
进程: e:\downloads\calc\485.tmp.exe
目标: E:\downloads\calc\485.tmp.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-10-31 08:45:13    创建文件    允许
进程: e:\downloads\calc\485.tmp.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\3.tmp
规则: [文件]*

2011-10-31 08:45:33    修改注册表值    阻止
进程: e:\downloads\calc\485.tmp.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b2ca5818-e31a-11e0-b48d-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-10-31 08:46:09    创建新进程    允许
进程: e:\downloads\calc\485.tmp.exe
目标: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\flashupdate.exe" C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\3.tmp
规则: [应用程序]*

2011-10-31 08:46:38    创建文件    允许
进程: c:\windows\system32\wbem\wmiprvse.exe
目标: C:\WINDOWS\TEMP\Perflib_Perfdata_43c.dat
规则: [文件]*

2011-10-31 08:46:41    修改文件    允许
进程: c:\windows\system32\wbem\wmiprvse.exe
目标: C:\WINDOWS\temp\Perflib_Perfdata_43c.dat
规则: [文件]*

2011-10-31 08:46:49    删除注册表值    阻止
进程: c:\windows\system32\wbem\wmiprvse.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PerfOS\Performance\Error Count
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-10-31 08:47:03    底层磁盘写操作    允许
进程: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序]*

2011-10-31 08:47:18    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\4.tmp
规则: [文件]*

2011-10-31 08:47:20    修改文件    允许
进程: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\flashupdate.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-10-31 08:47:22    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\4.tmp
规则: [文件]*

2011-10-31 08:47:30    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\4.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2011-10-31 08:47:32    删除文件    允许
进程: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\3.tmp
规则: [文件]*

2011-10-31 08:47:34    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\4.tmp  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\4.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2011-10-31 08:47:36    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\4.tmp  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\4.tmp  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~DFBD50.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2011-10-31 08:47:38    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\flashupdate.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\4.tmp  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\4.tmp  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~DFBD50.tmp  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~DFE788.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations


恶梦开始...

1.tdsskiller 打不开；
2.用xt 重置mbr 无效 ...
回复

举报

下一页 »
1234下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-8-22 04:22 , Processed in 0.103450 second(s), 14 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表