[可疑文件] 6x

显示全部楼层 · 发表于 2012-5-16 12:08:31

诺顿清空

显示全部楼层 · 发表于 2012-5-16 12:09:26

NIS 2012 kill 5x 剩下1x信誉不良
运行被自动防护干掉了

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间不可用
上次使用时间 2012/5/16 ( 12:08:29 )
启动项目否
已启动否
____________________________
____________________________
未知
诺顿社区中使用此文件的用户数量: 未知
____________________________
未知
此文件版本当前未知。
____________________________
中
此文件具有中等程度风险。
____________________________
威胁详细信息
威胁类型: 智能网络威胁。很多迹象表明此文件不可信任，不安全
____________________________

____________________________
文件操作
文件: c:\Users\lbb9432\Desktop\exe\0.exe
未尝试修复
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2012-5-16 12:10:13

消停发表于 2012-5-16 12:08
诺顿清空

我这里剩下了0.exe 运行才杀掉的

显示全部楼层 · 发表于 2012-5-16 12:12:37

lbb9432 发表于 2012-5-16 12:10
我这里剩下了0.exe 运行才杀掉的

我这里就这个是下载智能分析报的，其余都是都是特征码报的

显示全部楼层 · 发表于 2012-5-16 12:18:18

显示全部楼层 · 发表于 2012-5-16 12:23:38

本帖最后由 humanlwj52 于 2012-5-16 12:27 编辑

ESET & AVG emptied.

C:\Users\TOSHIBA\Desktop\exe\exe\0.exe - Win32/PSW.OnLineGames.QNW 特洛伊木马的变种 - 通过删除清除 - 已隔离
C:\Users\TOSHIBA\Desktop\exe\exe\1.exe - Win32/PSW.QQPass.NMD 特洛伊木马的变种 - 通过删除清除 - 已隔离
C:\Users\TOSHIBA\Desktop\exe\exe\2.exe - Win32/PSW.OnLineGames.PYT 特洛伊木马的变种 - 通过删除清除 - 已隔离
C:\Users\TOSHIBA\Desktop\exe\exe\arp.exe > RAR > scvhost.exe - Win32/HackTool.Xarp 特洛伊木马 - 是已删除对象的一部分
C:\Users\TOSHIBA\Desktop\exe\exe\scvhost.exe - Win32/HackTool.Xarp 特洛伊木马 - 通过删除清除 - 已隔离
C:\Users\TOSHIBA\Desktop\exe\exe\smss.exe - 可能是 Win32/Malushka.A 蠕虫的变种 - 通过删除清除 - 已隔离

"";"C:\Documents and Settings\Fujitsu\桌面\exe\exe\smss.exe";"Trojan horse Downloader.Generic12.AAPP";"Moved to Virus Vault"
"";"C:\Documents and Settings\Fujitsu\桌面\exe\exe\scvhost.exe";"Trojan horse BackDoor.Generic13.AGHF";"Moved to Virus Vault"
"";"C:\Documents and Settings\Fujitsu\桌面\exe\exe\arp.exe:\scvhost.exe";"Trojan horse BackDoor.Generic13.AGHF";"Moved to Virus Vault"
"";"C:\Documents and Settings\Fujitsu\桌面\exe\exe\arp.exe";"Trojan horse BackDoor.Generic13.AGHF";"Moved to Virus Vault"
"";"C:\Documents and Settings\Fujitsu\桌面\exe\exe\2.exe";"Virus found Win32/Heur.dropper";"Moved to Virus Vault"
"";"C:\Documents and Settings\Fujitsu\桌面\exe\exe\1.exe";"Trojan horse PSW.Generic9.BYRG.dropper";"Moved to Virus Vault"
"";"C:\Documents and Settings\Fujitsu\桌面\exe\exe\0.exe";"Trojan horse PSW.OnlineGames3.CJVI";"Moved to Virus Vault"

显示全部楼层 · 发表于 2012-5-16 12:27:47

exe 生成

显示全部楼层 · 发表于 2012-5-16 12:36:27

本帖最后由 liulangzhecgr 于 2012-5-16 13:26 编辑

2012-5-16 12:29:30 创建新进程允许
进程: c:\windows\explorer.exe
目标: e:\downloads\基本用户\exe\exe\0-new.exe
命令行: "E:\downloads\基本用户\exe\exe\0-new.exe"
规则: [应用程序]*

2012-5-16 12:29:37 创建文件 (3) 允许
进程: e:\downloads\基本用户\exe\exe\0-new.exe
目标: C:\Program Files\Common Files\whh07009.ocx
规则: [应用程序]* -> [文件]*

2012-5-16 12:29:40 创建文件允许
进程: e:\downloads\基本用户\exe\exe\0-new.exe
目标: C:\WINDOWS\system32\whhfd008.ocx
规则: [应用程序]* -> [文件]*

2012-5-16 12:29:43 创建文件 (2) 允许
进程: e:\downloads\基本用户\exe\exe\0-new.exe
目标: C:\Program Files\Common Files\0059A3E0ce.dll
规则: [应用程序]* -> [文件]*

=====================================

2012-5-16 12:30:01 创建新进程允许
进程: c:\windows\explorer.exe
目标: e:\downloads\基本用户\exe\exe\1-new.exe
命令行: "E:\downloads\基本用户\exe\exe\1-new.exe"
规则: [应用程序]*

2012-5-16 12:30:05 创建文件夹允许
进程: e:\downloads\基本用户\exe\exe\1-new.exe
目标: C:\spy_work_directory
规则: [应用程序]* -> [文件]*

2012-5-16 12:30:16 创建文件夹允许
进程: e:\downloads\基本用户\exe\exe\1-new.exe
目标: C:\spy_work_directory\tencent
规则: [应用程序]* -> [文件]*

2012-5-16 12:30:19 创建文件夹允许
进程: e:\downloads\基本用户\exe\exe\1-new.exe
目标: C:\spy_work_directory\tencent\icq
规则: [应用程序]* -> [文件]*

2012-5-16 12:30:20 创建文件夹允许
进程: e:\downloads\基本用户\exe\exe\1-new.exe
目标: C:\spy_work_directory\tencent\icq\qq
规则: [应用程序]* -> [文件]*

2012-5-16 12:30:22 创建文件夹允许
进程: e:\downloads\基本用户\exe\exe\1-new.exe
目标: C:\spy_work_directory\tencent\icq\tm
规则: [应用程序]* -> [文件]*

2012-5-16 12:30:24 创建文件允许
进程: e:\downloads\基本用户\exe\exe\1-new.exe
目标: C:\spy_work_directory\tencent\icq\neddy.dll
规则: [应用程序]* -> [文件]*

2012-5-16 12:30:33 创建新进程允许
进程: e:\downloads\基本用户\exe\exe\1-new.exe
目标: c:\windows\system32\rundll32.exe
命令行: rundll32 c:\spy_work_directory\tencent\icq\neddy.dll, Hook_Startup
规则: [应用程序]*

2012-5-16 12:30:42 结束其他进程阻止并结束进程
进程: e:\downloads\基本用户\exe\exe\1-new.exe
目标: c:\program files\tencent\qq\bin\qq.exe
规则: [应用程序]*

2012-5-16 12:30:48 安装全局消息钩子阻止并结束进程
进程: c:\windows\system32\rundll32.exe
目标: c:\spy_work_directory\tencent\icq\neddy.dll
钩子类型: WH_DEBUG
规则: [应用程序]*

=====================================================

2012-5-16 12:30:59 创建新进程允许
进程: c:\windows\explorer.exe
目标: e:\downloads\基本用户\exe\exe\2-new.exe
命令行: "E:\downloads\基本用户\exe\exe\2-new.exe"
规则: [应用程序]*

2012-5-16 12:31:26 修改文件 (3) 阻止
进程: e:\downloads\基本用户\exe\exe\2-new.exe
目标: C:\WINDOWS\system32\dllcache\iphlpapi.dll
规则: [应用程序]* -> [文件]*

2012-5-16 12:31:40 创建文件允许
进程: e:\downloads\基本用户\exe\exe\2-new.exe
目标: C:\WINDOWS\system32\iphlpapi.dll
规则: [应用程序]* -> [文件]*

---这个貌似查杀和防御打架的样本...

显示全部楼层 · 发表于 2012-5-16 12:39:44

微点扫描加主防清空

[可疑文件] 6x

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源