今天收到一个“美女”的照片，接到之后发现是exe格式，杀软全军覆没？

显示全部楼层 · 发表于 2012-7-22 15:08:59

美女有毒哦~~

显示全部楼层 · 发表于 2012-7-22 15:12:58

本帖最后由 zmzcy 于 2012-7-22 15:14 编辑

comodo kill all

C:\Users\zcy\AppData\Local\Temp\Rar$DRa0.813\生活Show\umhKGXH3scsVU.exe TrojWare.Win32.Magania.~all@25568566
C:\Users\zcy\AppData\Local\Temp\Rar$DRa0.397\全身照\kj4fHEFu5cwzu.exe TrojWare.Win32.Magania.~all@25568566
C:\Users\zcy\AppData\Local\Temp\Rar$DRa0.749\白云山风景区\ss0J1fTTEcnC6.exe TrojWare.Win32.Magania.~all@25568566

显示全部楼层 · 发表于 2012-7-22 15:24:08

顶多是几个盗号木马，穿沙什么的不必担心，没那么大能耐

显示全部楼层 · 发表于 2012-7-22 15:28:58

这远控貌似很厉害啊，要不是毒霸我就产了，微点直接呗过啊

显示全部楼层 · 发表于 2012-7-22 16:56:44

本帖最后由 wjcharles 于 2012-7-22 17:05 编辑

NIS2012 sonar kill 3X
需要管理员权限才能运行
白文件被挂起，没有加载恶意dll

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/7/22 ( 16:50:58 )
上次使用时间 2012/7/22 ( 16:50:58 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

源文件:
winrar.exe

创建的文件:
kj4fhefu5cwzu.exe
____________________________
文件操作
文件: c:\users\sshss\downloads\全身照\全身照\kj4fhefu5cwzu.exe
已删除
____________________________
系统设置操作
事件: 浏览器进程启动 (执行者 c:\users\sshss\downloads\全身照\全身照\kj4fhefu5cwzu.exe, PID:10060)
未采取操作
事件: PE 文件创建: c:\program files\暴风2\stormplayer.dll (执行者 c:\users\sshss\downloads\全身照\全身照\kj4fhefu5cwzu.exe, PID:10060)
未采取操作
事件: PE 文件创建: c:\program files\暴风2\stormplayer.exe (执行者 c:\users\sshss\downloads\全身照\全身照\kj4fhefu5cwzu.exe, PID:10060)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\全身照\全身照\kj4fhefu5cwzu.exe, PID:10060)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/7/22 ( 16:57:07 )
上次使用时间 2012/7/22 ( 16:57:07 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

源文件:
winrar.exe

创建的文件:
ss0j1fttecnc6.exe
____________________________
文件操作
文件: c:\users\sshss\downloads\白云山风景区\白云山风景区\ss0j1fttecnc6.exe
已删除
____________________________
系统设置操作
事件: 浏览器进程启动 (执行者 c:\users\sshss\downloads\白云山风景区\白云山风景区\ss0j1fttecnc6.exe, PID:11260)
未采取操作
事件: PE 文件创建: c:\program files\暴风2\stormplayer.dll (执行者 c:\users\sshss\downloads\白云山风景区\白云山风景区\ss0j1fttecnc6.exe, PID:11260)
未采取操作
事件: PE 文件创建: c:\program files\暴风2\stormplayer.exe (执行者 c:\users\sshss\downloads\白云山风景区\白云山风景区\ss0j1fttecnc6.exe, PID:11260)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\白云山风景区\白云山风景区\ss0j1fttecnc6.exe, PID:11260)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/7/22 ( 16:48:04 )
上次使用时间 2012/7/22 ( 16:48:04 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

源文件:
winrar.exe

创建的文件:
umhkgxh3scsvu.exe
____________________________
文件操作
文件: c:\users\sshss\downloads\生活show\生活show\umhkgxh3scsvu.exe
已删除
____________________________
系统设置操作
事件: 浏览器进程启动 (执行者 c:\users\sshss\downloads\生活show\生活show\umhkgxh3scsvu.exe, PID:10144)
未采取操作
事件: PE 文件创建: c:\program files\暴风2\stormplayer.dll (执行者 c:\users\sshss\downloads\生活show\生活show\umhkgxh3scsvu.exe, PID:10160)
未采取操作
事件: PE 文件创建: c:\program files\暴风2\stormplayer.exe (执行者 c:\users\sshss\downloads\生活show\生活show\umhkgxh3scsvu.exe, PID:10160)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\生活show\生活show\umhkgxh3scsvu.exe, PID:10160)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2012-7-22 17:07:18

三个貌似都是白加黑病毒（用了暴风影音）
三个程序都访问183.44.166.210（广东的ip）
附上三个病毒里面骗人的图片

显示全部楼层 · 发表于 2012-7-22 17:09:21

金山全杀了

显示全部楼层 · 发表于 2012-7-22 17:20:53

本帖最后由 feelingdld23 于 2012-7-22 17:24 编辑

红伞没有反应，但双击被金山卫士和comodo发现！哈哈。

显示全部楼层 · 发表于 2012-7-22 17:26:33

870097067 发表于 2012-7-22 14:54
comodo全幹掉了

TrojWare.Win32.Magania.~all@25568566 C:\Users\123\Downloads\全身照.rar|全身照\kj4f ...

哇，看来毛豆对付白加黑很有一套啊。
另外打算什么时候回归AVG？

显示全部楼层 · 发表于 2012-7-22 17:35:02

本帖最后由 oy-ll 于 2012-7-22 17:36 编辑

过不了我的MD规则,提示“图片宣染失败”后退出。三个病毒都是一样的动作。
2012-7-22 17:29:44 创建文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Program Files\33394796.jpg
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:44 创建文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Program Files\暴风2\StormPlayer.dll
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:44 修改文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPy\verify.ini
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:44 修改文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPY\Components\ComponentConfig.ini
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:44 修改文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPy\verify.ini
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:44 修改文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPY\Components\ComponentConfig.ini
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:44 修改文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPy\verify.ini
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:48 创建文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPY\Components\Picface\PicfaceData\sgim_picidx.bin.sgbak
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:48 修改文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPY\env.ini
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:48 创建文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPY\sgim_url.bin.sgbak
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:48 创建文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPY\sgim_eng.bin.sgbak
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:48 创建文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPY\InputStaticstics.dat.sgbak
规则: [应用程序]* -> [文件]c:\*

2012-7-22 17:29:48 创建文件阻止
进程: d:\我的文档\桌面\全身照\全身照\kj4fhefu5cwzu.exe
目标: C:\Documents and Settings\Administrator\Application Data\SogouPY\keyMapInfo.bin.sgbak
规则: [应用程序]* -> [文件]c:\*

[病毒样本] 今天收到一个“美女”的照片，接到之后发现是exe格式，杀软全军覆没？

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源