20.exe

-oAo-

http://r.virscan.org/report/c9ae2d0f8044d89159116954ed319ac0.html  3个报毒  8%

-oAo-

解压微点不报

ppy0606

2012/3/6 22:56:08    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\下载\virus\20\20.exe
命令行: "E:\下载\Virus\20\20.exe"
规则: [应用程序]c:\windows\explorer.exe

2012/3/6 22:56:13    创建新进程    允许
进程: e:\下载\virus\20\20.exe
目标: c:\windows\system32\svchost.exe
命令行: svchost.exe
规则: [应用程序组]『询问』病毒测试

2012/3/6 22:56:19    在其他进程中创建线程    允许
进程: e:\下载\virus\20\20.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序组]『询问』病毒测试

2012/3/6 22:56:20    删除文件    阻止
进程: c:\windows\system32\svchost.exe
目标: E:\下载\Virus\20\20.exe
规则: [应用程序]c:\windows\system32\svchost.exe -> [文件组]全局高危文件

2012/3/6 22:56:20    创建文件    阻止
进程: c:\windows\system32\svchost.exe
目标: C:\Windows\system32\687D133B00028920414F.exe
规则: [应用程序]c:\windows\system32\svchost.exe -> [文件组]全局高危文件

2012/3/6 22:56:20    删除注册表值    阻止
进程: c:\windows\system32\svchost.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\load
规则: [注册表组]自动运行 -> [注册表]*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\*

2012/3/6 22:56:20    修改注册表值    阻止
进程: c:\windows\system32\svchost.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\load
值: C:\Users\Choow\AppData\Local\Temp\8D713B8100028920DFAB.exe,
规则: [注册表组]自动运行 -> [注册表]*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\*

留侯

大蜘蛛：
20.exe - infected with Trojan.PWS.Spy.13983

wjcharles

消停 发表于 2012-3-6 21:55
完整路径: f:\20.exe
威胁: WS.Reputation.1
____________________________

sonar杀


完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/3/6 ( 23:55:48 )
上次使用时间 2012/3/6 ( 23:55:48 )
启动项目 否
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
winrar.exe

创建的文件:
20.exe
____________________________
文件操作
文件: c:\users\sshss\downloads\20\20.exe
已删除
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\20\20.exe, PID:7788)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

jayavira

调用系统进程
注入另一个进程里

liulangzhecgr

ppy0606 发表于 2012-3-6 22:57
2012/3/6 22:56:08    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\下载\virus\20\20.ex ...

这个样本在我的电脑里怪啊！ 昨天在毒霸下载，今天在这里下载运行都是相同的毛病出现---被创建的svchost.exe进程被挂（修改其他进程的内存，创建进程的线程后），无往下的行为...

ppy0606

liulangzhecgr 发表于 2012-3-7 09:33
这个样本在我的电脑里怪啊！ 昨天在毒霸下载，今天在这里下载运行都是相同的毛病出现---被创建的svchost. ...

不会吧

其实后续的就是创建目录然后下载EXE

类似在线更新

所以后面的动作都差不多··

我把联网阻止了

liulangzhecgr

ppy0606 发表于 2012-3-7 09:59
不会吧

其实后续的就是创建目录然后下载EXE

我到现在也糊涂！毒霸的by斑竹贴出KSC攻防测试里详细描述病毒症状以及解决办法,可我电脑中样本不发挥...为什么？！

maybug

江民2011没报