两只过卡7的马 ECE2F4 2EA8E6

显示全部楼层 · 发表于 2007-10-2 21:51:50

程序:
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\1.EXE
木马程序生成以下文件:
1) C:\WINDOWS.0\SYSTEM32\BITSPRX.EXE
是否删除木马程序及其衍生物?
程序:
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\SYSTEM32SYSTEM.EXE
木马程序生成以下文件:
1) C:\WINDOWS.0\SYSTEM32SYSTEM.INI
是否删除木马程序及其衍生物?

显示全部楼层 · 发表于 2007-10-2 21:58:38

我来试试微点+费尔+风云的安全体系能否抵御此病毒

显示全部楼层 · 发表于 2007-10-2 22:00:31

讓微點放開FD，看微點能否攔截"被控制的IE"之"訪問物理內存"

显示全部楼层 · 发表于 2007-10-2 22:01:59

费尔+风云联手拦截，微点暂时没反应

显示全部楼层 · 发表于 2007-10-2 22:07:44

去上报

显示全部楼层 · 发表于 2007-10-2 22:09:39

还有个毒，懒得改EXE了

显示全部楼层 · 发表于 2007-10-2 22:10:47

风云的HIPS记录了
2007-10-1 15:33:34  发现：修改注册表键值!
进程：C:\WINDOWS\system32\services.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\npkcrypt
键名：ImagePath
新键值："\??\C:\WINDOWS\system32\npkcrypt.sys"  询问放行

2007-10-1 18:18:21  发现：删除注册表键值!
进程：D:\Program Files\Filseclab\Twister\twister.exe
路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键名：Twister
键值：""D:\Program Files\Filseclab\Twister\twister.exe" -a"  询问放行

2007-10-1 18:18:23  发现：删除注册表键值!
进程：D:\Program Files\Filseclab\Twister\twister.exe
路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键名：Twister
键值：""D:\Program Files\Filseclab\Twister\twister.exe" -a"  询问放行

2007-10-1 23:01:32  发现：修改注册表键值!
进程：C:\WINDOWS\system32\services.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SecBkSrv
键名：ImagePath
新键值："C:\Program Files\Terminator\SecBkSrv.exe"  询问放行

2007-10-1 23:01:35  发现：修改注册表键值!
进程：C:\Program Files\Terminator\SecBkSrv.exe
路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键名：SecExpert
新键值："C:\Program Files\Terminator\SecMain.exe Hide"  询问放行

2007-10-1 23:01:35  发现：修改注册表键值!
进程：C:\Program Files\Terminator\SecBkSrv.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\xProc
键名：ImagePath
新键值："\??\C:\Program Files\Terminator\xProc.sys"  询问放行

2007-10-1 23:01:35  发现：修改注册表键值!
进程：C:\Program Files\Terminator\SecBkSrv.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\xBlock3
键名：ImagePath
新键值："\??\C:\Program Files\Terminator\xBlock3.sys"  询问放行

2007-10-1 23:01:36  发现：修改注册表键值!
进程：C:\Program Files\Terminator\SecBkSrv.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\xbuf
键名：ImagePath
新键值："\??\C:\Program Files\Terminator\xbuf.sys"  询问放行

2007-10-2 10:01:34  发现：修改注册表键值!
进程：C:\WINDOWS\system32\services.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WINIO
键名：ImagePath
新键值："\??\C:\Documents and Settings\Administrator\桌面\按键精灵\按键精灵 6.31.1602 绿色破解版\hknms.sys"  询问放行

2007-10-2 10:01:54  发现：修改注册表键值!
进程：C:\WINDOWS\system32\services.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WINIO
键名：ImagePath
新键值："\??\C:\Documents and Settings\Administrator\桌面\按键精灵\按键精灵 6.31.1602 绿色破解版\hknms.sys"  询问放行

2007-10-2 12:44:07  发现：修改注册表键值!
进程：C:\WINDOWS\system32\services.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ATSpy
键名：ImagePath
新键值："\??\C:\WINDOWS\system32\ATSpy.sys"  拦截

2007-10-2 12:44:35  发现：修改注册表键值!
进程：C:\WINDOWS\system32\services.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ATSpy
键名：ImagePath
新键值："\??\C:\WINDOWS\system32\ATSpy.sys"  拦截

2007-10-2 13:44:33  发现：修改注册表键值!
进程：C:\WINDOWS\system32\services.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\USBSTOR
键名：ImagePath
新键值："system32\DRIVERS\USBSTOR.SYS"  询问放行

2007-10-2 18:11:00  发现：修改注册表键值!
进程：C:\WINDOWS\system32\services.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SecBkSrv
键名：ImagePath
新键值："C:\Program Files\Terminator\SecBkSrv.exe"  询问放行

2007-10-2 18:11:12  发现：修改注册表键值!
进程：C:\Program Files\Terminator\SecBkSrv.exe
路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键名：
新键值：""  询问放行

2007-10-2 18:11:14  发现：修改注册表键值!
进程：C:\Program Files\Terminator\SecBkSrv.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\xProc
键名：ImagePath
新键值："\??\C:\WINDOWS\system32\Drivers\xProc.sys"  询问放行

2007-10-2 18:11:14  发现：修改注册表键值!
进程：C:\Program Files\Terminator\SecBkSrv.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\xBlock3
键名：ImagePath
新键值："\??\C:\Program Files\Terminator\xBlock3.sys"  询问放行

2007-10-2 19:42:51  发现：修改注册表键值!
进程：D:\系统软件\10Moons\TTVMaster.exe
路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键名：TVTray
新键值：""  拦截

2007-10-2 22:06:53  发现：修改注册表键值!
进程：C:\WINDOWS\system32\services.exe
路径：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Scheduler strumentation
键名：ImagePath
新键值："C:\WINDOWS\system32\bitsprx.exe"  询问放行

显示全部楼层 · 发表于 2007-10-2 22:15:49

好在已经禁用IE了.

显示全部楼层 · 发表于 2007-10-3 01:58:27

C:\Documents and Settings\uhthn\Desktop\1.exe - Infected with SDB:Win32.Backdoor.Hupigon.10 - Deleted
C:\Documents and Settings\uhthn\Desktop\system32system.ini - Infected with SDB:Win32.Backdoor.Hupigon.10 - Deleted

[病毒样本] 两只过卡7的马 ECE2F4 2EA8E6

我来补几张图

本帖子中包含更多资源