应该是误报

noahgong

目测应该是误报，求分析。压缩包密码：virus
下载地址：http://ge.tt/4VxxzvF/v/0

凶汉

解压后

FS右键扫描   报毒

留侯

大蜘蛛发现1个，文件加了壳：
false\串口调试器.exe - packed by FLY-CODE
false\串口调试器.exe - probably infected with Trojan.Packed.2135
这是大蜘蛛启发式分析技术作出的判断。

另一个Clean，压缩文件，文件加了壳：
false\序列号更换器.exe - packed by UPX
false\序列号更换器.exe - packed by PESTUB
false\序列号更换器.exe is RAR archive

ppy0606

这网盘好DT。。。。




2012/4/5 15:55:34    创建文件    允许
进程: f:\下载\compressed\false\串口调试器.exe
目标: C:\Windows\system32\Pcomm.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]系统高危文件

这个不知道咋玩啊 ，没可疑的动作啊








2012/4/5 15:56:48    删除注册表值    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/4/5 15:56:49    删除注册表值    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/4/5 15:56:50    修改注册表值    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000000(0)
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/4/5 15:56:51    修改注册表值    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/4/5 15:56:52    删除注册表值    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/4/5 15:56:53    删除注册表值    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/4/5 15:56:53    修改注册表值    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000000(0)
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/4/5 15:56:54    修改注册表值    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/4/5 15:56:59    创建新进程    允许
进程: f:\下载\compressed\false\序列号更换器.exe
目标: c:\users\choow\appdata\local\temp\rarsfx0\findkey.exe
命令行: "C:\Users\Choow\AppData\Local\Temp\RarSFX0\findkey.exe"
规则: [应用程序组]『询问』病毒测试

2012/4/5 15:57:29    读文件 (21)    阻止
进程: c:\users\choow\appdata\local\temp\rarsfx0\findkey.exe
目标: F:\Program Files\Internet Download Manager\idmmkb.dll
规则: [文件组]隐藏磁盘 -> [文件]f:\*

2012/4/5 15:57:51    修改文件 (12)    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: \Device\NamedPipe\srvsvc
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/4/5 15:57:52    访问COM接口    阻止
进程: f:\下载\compressed\false\序列号更换器.exe
目标: {9E175B6D-F52A-11D8-B9A5-505054503030} Search Gatherer Notification
规则: [应用程序组]『询问』病毒测试

悠柚

已确定“串口调试器.exe”文件是“FALSE POSITIVE”。 具体而言，这意味着此文件不是恶意程序，而是一次误报。 以下版本的病毒定义文件(VDF)中将删除这项检测: 7.10.10.24.

串口调试器.exe是误报

noahgong

ppy0606 发表于 2012-4-5 15:59
这网盘好DT。。。。

DT是什么意思？只是感觉这个网盘不用注册登录很方便

lbb9432

BD kill 序列号更换器.exe

ADSLgg

noahgong 发表于 2012-4-5 16:43
DT是什么意思？只是感觉这个网盘不用注册登录很方便

DT=danteng=蛋疼

ppy0606

noahgong 发表于 2012-4-5 16:43
DT是什么意思？只是感觉这个网盘不用注册登录很方便

蛋疼

可能我习惯了国内的网盘，一直对外国的网盘不敏感

xyc5238207

古董级杀软费尔杀！！