gdisvc.exe变种，卡巴没有办法！

显示全部楼层 · 发表于 2007-9-22 04:18:22

本来是要下载帝国时代3的最新汉化补丁，如下链接
http://seancgol.gbaopan.com/files/b1be17c966434092b656ed168c4c38ea.gbp
下载来的时候却是21K的小家伙，一时没留意，双击下去，系统时间先是变成1980年1月1日
卡巴（7.0.0.125）提示授权许可的时间不对，卡巴关闭
接下来几秒钟不知道它对我的系统做了什么
几秒后时间又自动改了回来，卡巴自动开启，开始出现杀猪声
重启后System32中出现gdisvc.exe报hidden objects，删之重启后复现
每次重启必报hidden objects的是gdisvc.exe和nvsvc32.exe（本人nvidia显卡）
打开任何一个.exe应用程序，基本出现hidden objects预警
全面扫描我的电脑，查不出任何病毒，重启又出现上述现象

按这个文章中的说的各种方法做
http://bbs.kafan.cn/viewthread.php?tid=131228&highlight=gdisvc
均无法解决问题，下载文章中的gdisvc.exe时，未下载卡巴便报毒，而我那个gdisvc.exe是不报毒的
可能是最新变种，救命。

显示全部楼层 · 发表于 2007-9-22 04:29:38

Starting the file scan:

Begin scan in 'C:\Documents and Settings\Administrator\桌面\PAOE3.rar'
C:\Documents and Settings\Administrator\桌面\PAOE3.rar
  [0] Archive type: RAR
  --> PAOE3.exe
   [DETECTION] Contains suspicious code HEUR/Crypted
   [INFO]    The file was deleted!

End of the scan: 2007年9月22日  04:29
Used time: 00:12 min

The scan has been done completely.

显示全部楼层 · 发表于 2007-9-22 05:15:04

2007-09-22 05:12:39 访问物理内存操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\PAOE3\PAOE3.exe

触发规则:所有程序规则->*

2007-09-22 05:12:40 创建文件操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\PAOE3\PAOE3.exe
文件路径:C:\program files\common files\system\gdiserver.exe
触发规则:所有程序规则->文件规则->%systemdrive%\*.exe

显示全部楼层 · 发表于 2007-9-22 09:34:14

KIS7高启发不报。

显示全部楼层 · 发表于 2007-9-22 09:42:44

微点：
程序:
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\PAOE3.EXE
木马程序生成以下文件:
1) C:\PROGRAM FILES\COMMON FILES\SYSTEM\GDISERVER.EXE
2) C:\WINDOWS.0\SYSTEM32\GDISVC.EXE
是否删除木马程序及其衍生物?

显示全部楼层 · 发表于 2007-9-22 09:43:09

卡巴的速度！！
Hello,

PAOE3.exek - Trojan.Win32.VB.bgj

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Please quote all when answering.

--
Best regards, Vladimir Krylov
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/

http://www.kaspersky.com/virusscanner - free online virus scanner.
http://www.kaspersky.com/helpdesk.html - technical support.

显示全部楼层 · 发表于 2007-9-22 09:56:36

飘过

显示全部楼层 · 发表于 2007-9-22 10:01:32

瑞星08主动防御干掉

显示全部楼层 · 发表于 2007-9-22 10:14:40

请问楼主开主动防御了吗？

显示全部楼层 · 发表于 2007-9-22 11:16:34

原帖由 Redevil 于 2007-9-22 10:14 发表
请问楼主开主动防御了吗？

可能是你锁定时间了吧，楼主肯定是开PDM的，否则Hidden objects警报从哪来，但是卡巴被时间问题搞挂了……
在我这里就是两个Strange Behaviour（访问物理内存，估计是打算隐藏进程），然后时间就被改了。
等待年底的MP1……

[ 本帖最后由 flo 于 2007-9-22 11:23 编辑 ]

[病毒样本] gdisvc.exe变种，卡巴没有办法！

本帖子中包含更多资源

本帖子中包含更多资源