关于鬼影6

livlva

村上三四 发表于 2012-8-22 18:13
楼主发的毒霸论坛中微点未查杀的两个样本，已上报。

KIS 栏下

男人似花

潇湘颦儿 发表于 2012-8-22 18:23
不好意思，刚密码写错了，现在好了，infected

360  杀  
卡巴报毒 拦截  
尼玛你那个exe程序被我运行了   实体机   压缩包图标  exe文件  我运行了  

Tom179090

猎豹提示下载中断

bbs2811125

汗，鬼影都出到6啦……我还以为已经消失殆尽了

hddu

2012-08-22 18:46:32    创建文件      操作:允许
进程路径:F:\virus\1001[1]\1001.exe
文件路径:C:\temp\qxfgnucjqb.sys
触发规则:所有程序规则->全局设置->?:\*.sys


2012-08-22 18:46:32    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\qxfgnucjqb
注册表名称:[Key]
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-08-22 18:46:33    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\qxfgnucjqb\Security
注册表名称:[Key]
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-08-22 18:46:33    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\qxfgnucjqb\Enum
注册表名称:[Key]
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-08-22 18:46:37    加载驱动程序      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
驱动路径:C:\temp\qxfgnucjqb.sys
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->*\Temp\*.sys


2012-08-22 18:46:37    创建文件      操作:阻止
进程路径:System
文件路径:C:\Windows\System32\drivers\p2phook.sys
触发规则:应用程序规则->System设置->System->?:\*.sys


2012-08-22 18:46:37    创建文件      操作:阻止
进程路径:System
文件路径:C:\Windows\System32\safemon.dll
触发规则:应用程序规则->System设置->System->?:\*.dll


2012-08-22 18:46:41    运行应用程序      操作:允许
进程路径:F:\virus\1001[1]\1001.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:safemon.dll p2pr
触发规则:所有程序规则->Rundll32设置->*\rundll32.exe


2012-08-22 18:46:44    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\winlogon.exe
文件路径:C:\WINDOWS\system32\drivers\beep.sys
触发规则:应用程序规则->WINDOWS文件设置->%windir%\system32\winlogon.exe->%windir%\*.sys


2012-08-22 18:46:44    删除文件      操作:阻止
进程路径:C:\WINDOWS\system32\winlogon.exe
文件路径:C:\WINDOWS\system32\drivers\\WINDOWS\system32\drivers\beep.sys
触发规则:应用程序规则->WINDOWS文件设置->%windir%\system32\winlogon.exe->%windir%\*.sys


2012-08-22 18:46:53    删除文件      操作:允许
进程路径:F:\virus\1001[1]\1001.exe
文件路径:C:\Temp\qxfgnucjqb.sys
触发规则:所有程序规则->全局设置->?:\*.sys


2012-08-22 18:46:55    运行应用程序      操作:允许
进程路径:F:\virus\1001[1]\1001.exe
文件路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
命令行:http://xytets.com:2345/t.asp?id=1002
触发规则:所有程序规则->非系统进程操作 ->%ProgramFiles%\Internet Explorer\iexplore.exe


2012-08-22 18:47:00    创建文件      操作:允许
进程路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
文件路径:C:\Windows\System32\safemon.dll
触发规则:应用程序规则->防止网马->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE->%WinDir%\*


2012-08-22 18:47:04    创建文件      操作:允许
进程路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
文件路径:C:\windows\system32\p2pc.ini
触发规则:应用程序规则->防止网马->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE->%WinDir%\*


2012-08-22 18:47:20    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\winlogon.exe
文件路径:C:\WINDOWS\system32\drivers\beep.sys
触发规则:应用程序规则->WINDOWS文件设置->%windir%\system32\winlogon.exe->%windir%\*.sys


2012-08-22 18:47:20    删除文件      操作:阻止
进程路径:C:\WINDOWS\system32\winlogon.exe
文件路径:C:\WINDOWS\system32\drivers\\WINDOWS\system32\drivers\beep.sys
触发规则:应用程序规则->WINDOWS文件设置->%windir%\system32\winlogon.exe->%windir%\*.sys

小淘气

这个EXE跟压缩包一样不小心运行了下大蜘蛛性好拦截了几个但是还是被干掉了，360急救箱修复了下还是不行最后一键还原了

284678343

1. HEUR:Trojan.Win32.Invader        1001.exe        已删除        2012/08/22 星期三 19:11:25        C:\Users\Chobits\Virus\       
   

复制代码

bbs2811125

ESET和GD都报了，不过郁闷的是这俩解压的时候都没报
难道双开的导致监控失效？！这也太可怕了点吧

liulangzhecgr

hddu 发表于 2012-8-22 18:54
2012-08-22 18:46:32    创建文件      操作:允许
进程路径:F:\virus\1001[1]\1001.exe
文件路径:C:\temp ...

eq能跟踪system进程哦
试一试md 能跟踪啥样？！

wjcharles

NIS2012启发


完整路径: c:\users\sshss\downloads\1001\1001.exe
威胁: Packed.Vmpbad!gen4
____________________________
____________________________
在电脑上的创建时间 不可用
上次使用时间 2012/8/22 ( 19:23:58 )
启动项目 否
已启动 否
____________________________
____________________________
未知
诺顿社区中使用此文件的用户数量: 未知
____________________________
未知
此文件版本当前未知。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
威胁类型: 病毒。 将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。
____________________________

____________________________
文件操作
文件: c:\users\sshss\downloads\1001\1001.exe
已删除
____________________________
文件指纹 - SHA:
9bfce5539fa99af58e3cb65117a943393253d76916de5f9555c46e77bbf19e69
____________________________
文件指纹 - MD5:
297de74cb20a975efaf20cd88fddf270
____________________________