13.exe

绅博周幸

lbb9432 发表于 2012-3-1 10:08
那个传说中的http://bbs.kafan.cn/thread-1231785-1-1.html样本 BD分析又是IGNORE

STOP! Bitdefender blocked this web page.





The page you are trying to access contains malware.


Details:
Web Page: http://bbs.kafan.cn/forum.php?mo ... 0ODc1fDEyMzE3ODU%3D
Detected viruses: Trojan.Agent.AUKE



Access from your browser has been blocked.

Take me back to safety

迷惘的执著

jjtony2 发表于 2012-2-29 22:07
360 kill!

阿黛尔

宵河

438194610 发表于 2012-3-1 09:23
虚拟机的瑞星悲剧了，双击后木马防御弹窗提示，我点了阻止，可还是一个大窗口占据了整个屏幕，搞不掉了，看 ...

瑞星不会是拦截的是它的其他操作，但是那个全屏置顶的程序没有拦截？

宵河

lbb9432 发表于 2012-2-29 22:19
Bullguard不杀

To BD

2012-3-1 16:20:17    结束其他进程    允许
进程: d:\a\13.exe
目标: c:\windows\system32\taskmgr.exe
规则: [应用程序]*

任务管理器会被进程。你那里能调出来？

lbb9432

宵河 发表于 2012-3-1 16:23
2012-3-1 16:20:17    结束其他进程    允许
进程: d:\a\13.exe
目标: c:\windows\system32\taskmgr.ex ...

嗯 调出来马上就被那个窗口掩盖了 也可能是被结束掉了  

我注销之后才好的  

追影子的十三

humanlwj52 发表于 2012-2-29 22:06
改后缀为exe后双击，微点拦截了：

微点神勇，不知回滚是否完全

438194610

宵河 发表于 2012-3-1 16:14
瑞星不会是拦截的是它的其他操作，但是那个全屏置顶的程序没有拦截？

全屏置顶还在

宵河

438194610 发表于 2012-3-1 19:31
全屏置顶还在

应该不要重装吧.....重启一下就行..

hddu

2012-03-02 10:40:06    创建文件      操作:允许
进程路径:F:\virus\13\13.exe
文件路径:C:\WINDOWS\system32\gema.exe
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.exe


2012-03-02 10:40:08    创建文件      操作:允许
进程路径:F:\virus\13\13.exe
文件路径:C:\Documents and Settings\All Users\Application Data\gema
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2012-03-02 10:40:08    创建文件      操作:允许
进程路径:F:\virus\13\13.exe
文件路径:C:\Documents and Settings\All Users\Application Data\gema\gema.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*.exe


2012-03-02 10:40:09    创建文件      操作:允许
进程路径:F:\virus\13\13.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\gema
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2012-03-02 10:40:10    创建文件      操作:允许
进程路径:F:\virus\13\13.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\gema\gema.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*.exe


2012-03-02 10:40:11    创建注册表值      操作:允许
进程路径:F:\virus\13\13.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:gema
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2012-03-02 10:40:11    修改注册表内容      操作:使用任务隔离区操作
进程路径:F:\virus\13\13.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表名称:userinit
更改后:C:\WINDOWS\system32\gema.exe,C:\WINDOWS\system32\userinit.exe,
更改前:C:\WINDOWS\system32\userinit.exe,
触发规则:应用程序规则->WinLogon设置->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon*


2012-03-02 10:40:13    创建注册表值      操作:允许
进程路径:F:\virus\13\13.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:gema.
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2012-03-02 10:40:13    修改注册表内容      操作:使用任务隔离区操作
进程路径:F:\virus\13\13.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表名称:userinit
更改后:C:\Documents and Settings\All Users\Application Data\gema\gema.exe,C:\WINDOWS\system32\userinit.exe,
更改前:C:\WINDOWS\system32\userinit.exe,
触发规则:应用程序规则->WinLogon设置->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon*


2012-03-02 10:40:14    创建注册表值      操作:允许
进程路径:F:\virus\13\13.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:gema
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2012-03-02 10:40:15    创建注册表值      操作:阻止并结束进程
进程路径:F:\virus\13\13.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表名称:shell
触发规则:应用程序规则->WinLogon设置->?:\*->HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

防止了，没有出现7楼所说情况。

liulangzhecgr

lock screen ?!