hxxp://howbankingworks.ie/mambots/sync.exe

a256886572008

zckey

KIS2012　miss
云是今天新发现的文件

wuyongliang

过FS  扫描加运行   上报看看

a256886572008

wuyongliang 发表于 2011-11-10 19:46
过FS  扫描加运行   上报看看

主要可疑的地方是，他會把本機的  document files，copy 到某個特定目錄作標記。

夜ㄝ殇

毒霸kill

dalianjhc1986

to eset

liulangzhecgr

创建文件的位置啊

2011-11-10 20:12:39    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\sync\sync.exe
命令行: "E:\downloads\sync\sync.exe"
规则: [应用程序]*

2011-11-10 20:12:43    创建文件夹    允许
进程: e:\downloads\sync\sync.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\p2xtmp-1416
规则: [文件]*

2011-11-10 20:12:46    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\p2xtmp-1416\p2x587.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:12:50    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\p2xtmp-1416\Util.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:12:51    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\p2xtmp-1416\re.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:12:52    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\p2xtmp-1416\Cwd.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:12:53    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\p2xtmp-1416\Glob.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:12:54    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\p2xtmp-1416\Socket.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:12:56    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\p2xtmp-1416\IO.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:12:57    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\p2xtmp-1416\Fcntl.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:13:03    创建文件夹    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp
规则: [文件]*

2011-11-10 20:13:08    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp\_hslib.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:13:10    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp\_C.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:13:18    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp\WINWORD8.DOC
规则: [文件]*

2011-11-10 20:13:21    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp\EXCEL9.XLS
规则: [文件]*

2011-11-10 20:13:23    修改文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp\WINWORD8.DOC
规则: [文件]*

2011-11-10 20:13:27    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp\_D.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:13:30    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp\_E.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:13:32    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp\_F.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:13:38    创建文件    允许
进程: e:\downloads\sync\sync.exe
目标: C:\temp\_users.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-11-10 20:13:41    访问网络    允许
进程: e:\downloads\sync\sync.exe
目标: TCP [本机 : 2533] ->  [193.46.236.34 : 21 (ftp)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-11-10 20:13:48    访问网络    允许
进程: e:\downloads\sync\sync.exe
目标: TCP [本机 : 2534] ->  [193.46.236.34 : 50585]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-11-10 20:13:54    访问网络    允许
进程: e:\downloads\sync\sync.exe
目标: TCP [本机 : 2535] ->  [193.46.236.34 : 50011]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-11-10 20:14:00    访问网络    允许
进程: e:\downloads\sync\sync.exe
目标: TCP [本机 : 2536] ->  [193.46.236.34 : 50742]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-11-10 20:14:04    访问网络    允许
进程: e:\downloads\sync\sync.exe
目标: TCP [本机 : 2537] ->  [193.46.236.34 : 50642]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-11-10 20:14:10    访问网络    阻止并结束进程
进程: e:\downloads\sync\sync.exe
目标: TCP [本机 : 2538] ->  [193.46.236.34 : 50738]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

留侯

大蜘蛛clean，压缩文件，文件加了壳：
sync.exe is BINARYRES container
sync.exe\data008 - packed by UPX
已上报！

zhousulin5

远程地址在拉脱维亚？

a256886572008

liulangzhecgr 发表于 2011-11-10 20:13
创建文件的位置啊

2011-11-10 20:12:39    创建新进程    允许

就把你電腦上的 document files ，copy 到一個地方