微点挂了，系统崩溃

夜微凉

见样本区http://bbs.kafan.cn/forum.php?mo ... =1398333&extra=，样本是我自己弄来的，首先微点扫描不报，双击执行不报，执行后自动重启，重启后微点提示删除XXXX，清除后重启，桌面除了壁纸和输入法悬浮窗，其他都不见了，包括任务栏和图标，无法操作，可以打开任务管理器，意味着微点无法彻底修复系统，然后系统崩溃。。。。。。。。幸好是虚拟机弄得。初步分析，该程序注入explorer.exe还有加驱动，进入系统底层，崩溃是因为微点清除不当，多删了一些东西，造成系统底层破坏，而这个程序应该是木马类，本身不具备破坏性

真小读者

点点不是万能的，不要随便双击。当然希望微点对比做出改进

a22271001

希望微点加以改进

陈识宇

金山卫士（我单奔此）直到现在也还报安全

幽冥の龙

猎豹浏览器下载，金山云无反应，压缩至好压，腾讯云报未知，360云报木马


VirSCAN.org Scanned Report :http://r.virscan.org/3ecc1e597df6089e3338d56b6c77dc95
Scanned time   : 2012/10/28 00:20:45 (CST)
Scanner results: 24%的杀软(9/37)报告发现病毒
File Name      : SecuredeIE_CL_SV_LW_-1253606917.exe
File Size      : 14408192 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : b6e17c9441730986387685f8613a2874
SHA1           : 2c443a766674d3e54fc793ba35cf126429f59e95
Online report  : http://r.virscan.org/3ecc1e597df6089e3338d56b6c77dc95

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      5.1.0.4         20121027235718    2012-10-27  10.52  Trojan-Dropper.Agent!IK
安博士V3       2012.10.27.00   2012.10.27        2012-10-27  2.72   -
AntiVir        8.2.10.150      7.11.41.132       2012-09-01  0.18   -
安天           2.0.18          2.0.18.           0002-18-00  1.43   -
Arcavir        2011            201210260008      2012-10-26  4.75   -
Authentium     5.1.1           201209090949      2012-09-09  1.83   W32/Malware!d84c (Exact)
AVAST!         4.7.4           121027-0          2012-10-27  14.99  -
AVG            12.0.1794       2441/5356         2012-10-26  1.41   -
BitDefender    7.90123.7765331 7.43823           2012-10-27  12.26  -
ClamAV         0.97.5          15513             2012-10-27  0.35   PUA.Win32.Packer.WiseInstallerStub
Comodo         5.1             13999             2012-10-27  2.19   -
CP Secure      1.3.0.5         2012.10.27        2012-10-27  2.34   -
Dr.Web         7.0.4.9250      2012.10.27        2012-10-27  16.32  -
F-Prot         4.6.2.117       20121026          2012-10-26  0.90   W32/Malware!d84c (exact)
F-Secure       7.02.73807      2012.10.27.04     2012-10-27  7.64   -
飞塔           4.3.392         16.549            2012-10-28  0.20   -
GData          22.6521         20121027          2012-10-27  14.09  -
ViRobot        20121027        2012.10.27        2012-10-27  0.42   -
Ikarus         T3.1.32.20.0    2012.10.27.82600  2012-10-27  6.84   Trojan-Dropper.Agent
江民杀毒       13.0.900        2012.10.27        2012-10-27  2.43   -
卡巴斯基       5.5.10          2012.10.16        2012-10-16  0.00   -
金山毒霸       2009.2.5.15     2012.10.27.18     2012-10-27  1.37   -
迈克菲         5400.1158       6877              2012-10-26  8.82   -
Microsoft      1.8904          2012.10.25        2012-10-25  23.68  -
NOD32          3.0.21          7633              2012-10-27  12.83  a variant of Win32/Adware.SiteVacuum application
Norman         6.8.3           201208311030      2012-08-31  0.00   -
熊猫卫士       9.05.01         2012.10.27        2012-10-27  3.17   -
趋势科技       9.500-1005      9.490.04          2012-10-27  0.21   -
Quick Heal     11.00           2012.10.26        2012-10-26  9.85   -
瑞星           20.0            24.33.02.03       2012-10-24  2.48   Trojan.Win32.Generic.12AC4E4C
Sophos         3.35.1          4.81              2012-10-27  5.77   -
Sunbelt        3.9.2551.2      13706             2012-10-26  1.46   Trojan.Win32.Malware
赛门铁克       1.3.0.24        20121026.002      2012-10-26  2.31   -
nProtect       20121026.01     12346993          2012-10-26  14.55  -
The Hacker     6.8.0.0         v00118            2012-10-25  0.76   -
VBA32          3.12.18.3       20121026.0940     2012-10-26  3.59   TrojanDownloader.Agent.frnn
VirusBuster    5.5.2.13        15.0.238.0/101549232012-10-26  0.20   -

火眼分析结果 http://fireeye.ijinshan.com/analyse.html?md5=b6e17c9441730986387685f8613a2874#key


看火眼的分析似乎并不会把系统破坏到LZ描述的程度啊？

幽冥の龙

我打包传给微点官方看看云芳怎么说


个人实机测试双击安装，微点报联网 IP地址显示以色列，同时自动打开了一个网页，拒绝后又报以色列，然后勾了一直 拒绝，然后金山卫士报开机启动项（安全），我点了阻止，然后微点又报联网IP(美国）  我还没来得及点拒绝，电脑重启

重启后进入桌面，一切正常…… 金山卫士系统体检显示一切正常...

（PS：我装在内存盘里的，因为8G内存，所以划了1G内存专门放临时文件什么的。。重启的话内存盘里的东西就自动没了，不知道有没有关系）

a445441

微点还是要不断的完善主防规则...

幽冥の龙

邮件传给微点后有回复了

尊敬的用户，您好！
     您的邮件已经收到，感谢您及时联系微点客户服务人员！
           用户你提交的文件：SecuredeIE_CL_SV_LW_-1253606917.exe  该文件捆绑了广告推广程序
  
请等待微点的更新，感谢您的反馈。


看起来并不是什么严重危害的软件，流氓软件的话从过去到现在一直是微点的弱项。

我自己也实机双击测试过，除了重启也没造成什么影响。。自动重启后一切正常。

LZ造成的实际损害应该再找找其他原因

wqcaokeyinwq

杀伤力如此大的样本。。连系统都崩溃掉了。。。。。。一定要试试。。。
过微点扫描。。。
双击。。
主防立刻报修改注册表。。仔细一看好像是要修改主页。。。。接着不听的报异常联网。。。多次拒绝后世界终于安静了。。。。安装完毕后。。机器自动重启。。。。
由于我的机器是双点组合。。。。。。重启后任何修改都是徒劳的。。。
但看微点的工程师回复。。。应该没有那么多破环哇？？？？？

幽冥の龙

wqcaokeyinwq 发表于 2012-10-30 08:07
杀伤力如此大的样本。。连系统都崩溃掉了。。。。。。一定要试试。。。
过微点扫描。。。
双击。。

我也是重启后没发现什么问题，不过我们都是拒绝，看微点工程师分析也确实绑了广告

那么也不排除安装这个东西后连接到的网址 如果对微点的报警一路放行的话可能会下载什么东西- -？

然后楼主以为是安全的依旧一路放行最终导致崩溃，我觉得这样的可能性比较大。

看着也不像什么新式病毒，那么大的动作微点的主防应该是不会没反应的