shipment_capost_invoice.zip

显示全部楼层 · 发表于 2012-6-14 12:31:59

扫描过fs双击试图联网

显示全部楼层 · 发表于 2012-6-14 12:41:30

显示全部楼层 · 发表于 2012-6-14 12:42:07

AVG上报。

显示全部楼层 · 发表于 2012-6-14 13:54:41

2012-06-14 13:51:35 创建文件    操作:允许
进程路径:F:\virus\shipment_capost_invoice\pdf_trk_invoice.scr
文件路径:C:\Documents and Settings\Administrator\Application Data\arx32.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*

2012-06-14 13:51:36 运行应用程序    操作:允许
进程路径:F:\virus\shipment_capost_invoice\pdf_trk_invoice.scr
文件路径:C:\Documents and Settings\Administrator\Application Data\arx32.exe
触发规则:应用程序规则->程序->?:\*

2012-06-14 13:51:38 运行应用程序    操作:允许
进程路径:C:\Documents and Settings\Administrator\Application Data\arx32.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add "hkcu\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /t reg_sz /d "C:\Documents and Settings\Administrator\Application Data\arx32.exe" /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2012-06-14 13:51:38 修改注册表内容    操作:阻止
进程路径:C:\WINDOWS\system32\reg.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
注册表名称:load
更改后:C:\Documents and Settings\Administrator\Application Data\arx32.exe
触发规则:所有程序规则->自动运行->*\Software\Microsoft\Windows nt\Currentversion\Windows

显示全部楼层 · 发表于 2012-6-14 16:57:29

各种invoice.zip，一看就...

显示全部楼层 · 发表于 2012-6-14 19:11:04

金山杀，火眼报告：
http://fireeye.ijinshan.com/anal ... 6cdf43330758c868605

显示全部楼层 · 发表于 2012-6-14 22:15:46

详细信息:
网页: http://bbs.kafan.cn/forum.php?mo ... DU0ODQwMnwxMzA3NjA4
安全威胁： Win32/Votwup.W 特洛伊木马
注释: 此网页的访问已被ESET Smart Security拦截。

显示全部楼层 · 发表于 2012-6-15 21:43:15

这个喜欢的啊

[病毒样本] shipment_capost_invoice.zip

本帖子中包含更多资源

本帖子中包含更多资源