两个样本大家帮忙看看是不是病毒？

显示全部楼层 · 发表于 2012-5-23 12:58:48

本帖最后由 sam_m3 于 2012-5-23 13:44 编辑

E:\System Volume Information\_restore{9CDB635F-17FC-4A62-9E7C-4AE37AEA43B4}\RP28\A0005111.exe
  [检测]       包含 SPR/Keygen.AU.8 程序的识别模式
  [注意]       文件已被移到隔离目录中，文件名为“4d2fc230.qua”。
C:\AMD\VGA\setup\setup.exe
  [检测]       是 TR/Qhost.rjp.1 特洛伊木马
  [注意]       文件已被移到隔离目录中，文件名为“4a64ed5c.qua”

显示全部楼层 · 发表于 2012-5-23 13:02:07

本帖最后由 sungan01 于 2012-5-23 21:04 编辑

好把,,从隔离区来出来的文件一般都被进行修改,就没有危害的了

2012-5-23 13:01:04 读文件夹阻止并结束进程
进程: c:\windows\system32\ntvdm.exe
目标: C:\Documents and Settings\hvve\My Documents\Downloads\Compressed\4d2fc230
规则: [应用程序组]■完全阻止程序 -> [文件]*

2012-5-23 13:01:49 读文件夹阻止并结束进程
进程: c:\windows\system32\ntvdm.exe
目标: C:\Documents and Settings\hvve\My Documents\Downloads\Compressed\4a64ed5c
规则: [应用程序组]■完全阻止程序 -> [文件]*

显示全部楼层 · 发表于 2012-5-23 13:08:27

大蜘蛛miss all，已上报。

显示全部楼层 · 发表于 2012-5-23 13:19:09

右键红伞和毒霸均报安全

运行，不兼容64位

显示全部楼层 · 发表于 2012-5-23 13:23:30

AVG已上報

显示全部楼层 · 发表于 2012-5-23 13:23:42

z2009 发表于 2012-5-23 13:19
右键红伞和毒霸均报安全

运行，不兼容64位

红伞两个都报安全？

显示全部楼层 · 发表于 2012-5-23 13:29:04

真是晕死人了
两个都不是PE文件啊
上面那些人是如何运行的啊

显示全部楼层 · 发表于 2012-5-23 13:37:22

z2009 发表于 2012-5-23 13:19
右键红伞和毒霸均报安全

运行，不兼容64位

ntvdm.exe是Windows 16位虚拟机的一部分

该进程用于使16位的进程能够运行在32位的系统环境下

百度的

显示全部楼层 · 发表于 2012-5-23 13:39:08

jayavira 发表于 2012-5-23 13:29
真是晕死人了
两个都不是PE文件啊
上面那些人是如何运行的啊

改为EXE后缀啊,你搞笑了

显示全部楼层 · 发表于 2012-5-23 13:42:35

sam_m3 发表于 2012-5-23 13:23
红伞两个都报安全？

是的

[可疑文件] 两个样本大家帮忙看看是不是病毒？

本帖子中包含更多资源