收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › cycbot
12
返回列表 发新帖
楼主: a256886572008
 收起左侧

[病毒样本] cycbot

[复制链接]
wjcharles
发表于 2011-11-8 10:37:49 | 显示全部楼层
NIS2012 sonar kill


完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2011/11/8 ( 10:34:43 )
上次使用时间 2011/11/8 ( 10:34:43 )
启动项目 是
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
winrar.exe

创建的文件:
17.exe

创建的文件:
c9b4.exe
____________________________
文件操作
受感染文件: c:\users\sshss\appdata\roaming\microsoft\dbb4\c9b4.exe
已删除
受感染文件: c:\users\sshss\downloads\17\17.exe
不需要操作
受感染文件: c:\users\sshss\appdata\roaming\microsoft\dbb4\5723.exe
不需要操作
受感染文件: c:\users\sshss\appdata\roaming\microsoft\dbb4\ec9.exe
不需要操作
____________________________
注册表操作
注册表更改: HKEY_USERS\S-1-5-21-132046228-1071471334-2442218452-1000\Software\Microsoft\Windows\CurrentVersion\Run->EC9.exe
不需要操作
____________________________
网络操作
事件: 网络活动 (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
____________________________
系统设置操作
事件: 进程启动 (Performed by c:\users\sshss\appdata\roaming\microsoft\dbb4\c9b4.exe, PID:17624)
未采取操作
事件: PE 文件创建: c:\users\sshss\appdata\roaming\microsoft\dbb4\ec9.exe (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
事件: 进程启动 (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
事件: PE 文件创建: c:\users\sshss\appdata\roaming\microsoft\dbb4\5723.exe (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
事件: 进程启动 (Performed by c:\users\sshss\appdata\roaming\microsoft\dbb4\5723.exe, PID:17452)
未采取操作
事件: 进程启动 (Performed by c:\users\sshss\appdata\roaming\microsoft\dbb4\ec9.exe, PID:3460)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
____________________________
文件指纹 - SHA:
ee0ccc8882e4f0361c4c888369621463ad87226fc3db9b2757d36d34d1fef15c
____________________________
文件指纹 - MD5:
c343e2a7cb13e85088bbeba833d5b485
____________________________



完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2011/11/8 ( 10:34:12 )
上次使用时间 2011/11/8 ( 10:34:12 )
启动项目 是
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
winrar.exe

创建的文件:
17.exe

创建的文件:
5723.exe
____________________________
文件操作
事件: 正在运行进程: c:\users\sshss\downloads\17\17.exe
已终止
受感染文件: c:\users\sshss\appdata\roaming\microsoft\dbb4\5723.exe
已删除
受感染文件: c:\users\sshss\downloads\17\17.exe
已删除
受感染文件: c:\users\sshss\appdata\roaming\microsoft\dbb4\ec9.exe
已删除
____________________________
注册表操作
注册表更改: HKEY_USERS\S-1-5-21-132046228-1071471334-2442218452-1000\Software\Microsoft\Windows\CurrentVersion\Run->EC9.exe
已删除
____________________________
网络操作
事件: 网络活动 (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
____________________________
系统设置操作
事件: 进程启动 (Performed by c:\users\sshss\appdata\roaming\microsoft\dbb4\5723.exe, PID:17452)
未采取操作
事件: PE 文件创建: c:\users\sshss\appdata\roaming\microsoft\dbb4\ec9.exe (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
事件: 进程启动 (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
事件: PE 文件创建: c:\users\sshss\appdata\roaming\microsoft\dbb4\5723.exe (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
事件: 进程启动 (Performed by c:\users\sshss\appdata\roaming\microsoft\dbb4\ec9.exe, PID:3460)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (Performed by c:\users\sshss\downloads\17\17.exe, PID:15944)
未采取操作
____________________________
文件指纹 - SHA:
2ee6e246a417e3cc73604e35dc888ab813afc27fecc3a91f17e156add13d852c
____________________________
文件指纹 - MD5:
ddfa017c703b5733a36170f68e356248
____________________________

回复

举报

dalianjhc1986
发表于 2011-11-8 11:00:26 | 显示全部楼层
eset kill
回复

举报

xyc5238207
发表于 2011-11-8 14:17:44 | 显示全部楼层
费尔启发无压力

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

hddu
发表于 2011-11-8 15:18:13 | 显示全部楼层
2011-11-08 15:10:38    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\My Documents\图片收藏
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\My Documents\*


2011-11-08 15:10:38    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:10:38    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:10:43    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\My Documents\图片收藏
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\My Documents\*


2011-11-08 15:10:43    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:10:43    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:10:44    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\My Documents\图片收藏
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\My Documents\*


2011-11-08 15:10:44    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:10:44    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:10:47    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\LP
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2011-11-08 15:10:49    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\LP\23F3
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*\*


2011-11-08 15:10:52    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\LP\23F3\018.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe


2011-11-08 15:10:52    创建注册表值      操作:阻止
进程路径:F:\virus\17\17.EXE
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:018.exe
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2011-11-08 15:10:54    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Documents and Settings\Administrator\Application Data\37541
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2011-11-08 15:10:56    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Documents and Settings\Administrator\Application Data\37541
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2011-11-08 15:10:57    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Documents and Settings\Administrator\Application Data\37541
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2011-11-08 15:10:59    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Documents and Settings\Administrator\Application Data\37541
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2011-11-08 15:10:59    运行应用程序      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:F:\virus\17\17.EXE
命令行:startC:\Documents and Settings\Administrator\Application Data\37541\65F23.exe%C:\Documents and Settings\Administrator\Application Data\37541
触发规则:应用程序规则->程序->?:\*


2011-11-08 15:11:04    修改注册表内容      操作:阻止
进程路径:F:\virus\17\17.EXE
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc
注册表名称:Start
触发规则:所有程序规则->服务_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2011-11-08 15:11:05    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\My Documents\图片收藏
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\My Documents\*


2011-11-08 15:11:05    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:11:05    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:11:05    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\My Documents\图片收藏
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\My Documents\*


2011-11-08 15:11:05    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:11:05    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:11:06    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\My Documents\图片收藏
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\My Documents\*


2011-11-08 15:11:06    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:11:06    删除文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wbem\wmiprvse.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\管理工具
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\管理工具


2011-11-08 15:11:07    创建注册表值      操作:阻止
进程路径:F:\virus\17\17.EXE
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:018.exe
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2011-11-08 15:11:23    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\LP\23F3\2E.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe


2011-11-08 15:11:23    运行应用程序      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\LP\23F3\2E.exe
命令行:check
触发规则:应用程序规则->程序->?:\*


2011-11-08 15:11:38    删除文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\LP\23F3\2E.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe


2011-11-08 15:11:38    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Documents and Settings\Administrator\Application Data\37541\65F23.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*.exe


2011-11-08 15:11:38    运行应用程序      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:F:\virus\17\17.EXE
命令行:startC:\Documents and Settings\Administrator\Application Data\37541\65F23.exe%C:\Documents and Settings\Administrator\Application Data\37541
触发规则:应用程序规则->程序->?:\*


2011-11-08 15:11:42    运行应用程序      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Documents and Settings\Administrator\Application Data\37541\65F23.exe
触发规则:应用程序规则->程序->?:\*


2011-11-08 15:11:48    运行应用程序      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Documents and Settings\Administrator\Application Data\37541\65F23.exe
触发规则:应用程序规则->程序->?:\*


2011-11-08 15:11:49    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Application Data\37541\65F23.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\60FE8
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2011-11-08 15:11:49    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Application Data\37541\65F23.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\60FE8\65F23.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*.exe


2011-11-08 15:11:50    创建注册表值      操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\Administrator\Application Data\37541\65F23.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表名称:Shell
触发规则:应用程序规则->WinLogon设置->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon*


2011-11-08 15:11:53    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\41BDB
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2011-11-08 15:11:53    运行应用程序      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:F:\virus\17\17.EXE
命令行:startC:\Program Files\41BDB\lvvm.exe%C:\Program Files\41BDB
触发规则:应用程序规则->程序->?:\*


2011-11-08 15:11:55    修改文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Application Data\37541\65F23.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\60FE8\65F23.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*.exe


2011-11-08 15:11:55    创建注册表值      操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\Administrator\Application Data\37541\65F23.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表名称:Shell
触发规则:应用程序规则->WinLogon设置->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon*


2011-11-08 15:12:10    创建文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\LP\23F3\2F.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe


2011-11-08 15:12:10    运行应用程序      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\LP\23F3\2F.exe
命令行:check
触发规则:应用程序规则->程序->?:\*


2011-11-08 15:12:23    删除文件      操作:允许
进程路径:F:\virus\17\17.EXE
文件路径:C:\Program Files\LP\23F3\2F.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe

.............略了。





回复

举报

liulangzhecgr
发表于 2011-11-8 19:40:41 | 显示全部楼层
看日志‘恶意’成分浓点儿。。。
回复

举报

njjsxy
发表于 2011-11-8 20:05:54 | 显示全部楼层
kis
  Trojan.Win32.Jorik.Gbot.rba
回复

举报

rasis
发表于 2011-11-8 21:09:33 | 显示全部楼层
360

扫描结果
======================
病毒扫描结果
----------------------
D:\DOWNLOAD\17.gz=>17.EXE        恶意程序(Gen:Variant.Kazy.42802)        已删除
回复

举报

wanghai360good
发表于 2011-11-9 16:06:52 | 显示全部楼层
EAV Win32/Kryptik.VAN 特洛伊木马 的变种        通过删除清除 - 已隔离       
回复

举报

wuyongliang
头像被屏蔽
发表于 2011-11-9 16:21:46 | 显示全部楼层
FS  网页监控就拿下了  
回复

举报

12
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-8-22 07:00 , Processed in 0.134216 second(s), 15 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表