1f9708 病毒？

显示全部楼层 · 发表于 2007-12-2 19:52:36

2007-12-2 19:45:55 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-12-2 19:45:43
类型: 编辑一个文件/目录
风险: 中等

程序
PID: 432
PPID: 1124
UID: JLJ\jljqq
文件：E:\下载\123456\123456.EXE

对象
文件/目录: C:\DOCUMENTS AND SETTINGS\JLJQQ\LOCAL SETTINGS\TEMP\123456.EXE
用户操作: 允许
***************************************************
2007-12-2 19:46:25 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-12-2 19:45:58
类型: 编辑一个文件/目录
风险: 中等

程序
PID: 432
PPID: 1124
UID: JLJ\jljqq
文件：E:\下载\123456\123456.EXE

对象
文件/目录: C:\DOCUMENTS AND SETTINGS\JLJQQ\LOCAL SETTINGS\TEMP\NSR288.TMP\SYSTEM.DLL
用户操作: 允许
***************************************************
2007-12-2 19:46:30 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-12-2 19:46:25
类型: 删除了一个Ｗindows注册表键
风险: 高

行为监控规则
名称: reg IE Zone# R4

程序
PID: 432
PPID: 1124
UID: JLJ\jljqq
文件: E:\下载\123456\123456.EXE

对象
注册表键: \REGISTRY\USER\S-1-5-21-776561741-1844237615-725345543-1003\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP\PROXYBYPASS
用户操作: 阻止, 记住此次选择此次对话期间
***************************************************
2007-12-2 19:46:54 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-12-2 19:46:39
类型: 删除一个文件/目录
风险: 中等

程序
PID: 432
PPID: 1124
UID: JLJ\jljqq
文件：E:\下载\123456\123456.EXE

对象
文件/目录: C:\DOCUMENTS AND SETTINGS\JLJQQ\LOCAL SETTINGS\TEMP\NSR288.TMP\SYSTEM.DLL
用户操作: 允许
***************************************************
2007-12-2 19:47:09 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-12-2 19:46:54
类型: 删除一个文件/目录
风险: 中等

程序
PID: 3756
PPID: 432
UID: JLJ\jljqq
文件：C:\DOCUMENTS AND SETTINGS\JLJQQ\LOCAL SETTINGS\TEMP\123456.EXE

对象
文件/目录: E:\下载\123456\123456.EXE
用户操作: 允许
***************************************************
2007-12-2 19:47:37 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-12-2 19:47:09
类型: 编辑一个文件/目录
风险: 中等

程序
PID: 3756
PPID: 432
UID: JLJ\jljqq
文件：C:\DOCUMENTS AND SETTINGS\JLJQQ\LOCAL SETTINGS\TEMP\123456.EXE

对象
文件/目录: C:\WINDOWS\SYSTEM32\PRSTSERVICE.EXE
用户操作: 阻止, 记住此次选择此次对话期间
***************************************************
2007-12-2 19:47:47 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-12-2 19:47:38
类型: 编辑一个文件/目录
风险: 中等

程序
PID: 3756
PPID: 432
UID: JLJ\jljqq
文件：C:\DOCUMENTS AND SETTINGS\JLJQQ\LOCAL SETTINGS\TEMP\123456.EXE

对象
文件/目录: C:\DELUS.BAT
用户操作: 阻止, 记住此次选择此次对话期间
***************************************************

显示全部楼层 · 发表于 2007-12-3 00:32:00

Uhthn Anti-Spyware V3 Alpha
Version - 3.0.0
Standard Database - 1010
Paranoia Database - 49435
Heuristics Analysis - Excessive
Scan in - C:\Documents and Settings\Uhthn\Desktop\123456.exe

C:\Documents and Settings\Uhthn\Desktop\123456.exe - Suspected TROJAN-DOWNLOADER (HTTP://{REMOVED}/...)

1 Files scanned
0 Infected files found
1 Suspected files found
0 Files disinfected
0 Files deleted

显示全部楼层 · 发表于 2007-12-3 00:45:12

程序:
C:\DOCUMENTS AND SETTINGS\DELL\桌面\123456.EXE
木马程序生成以下文件:
1) C:\DOCUMENTS AND SETTINGS\DELL\LOCAL SETTINGS\TEMP\123456.EXE
2) C:\DOCUMENTS AND SETTINGS\DELL\LOCAL SETTINGS\TEMP\E_4\KRNLN.FNR
3) C:\DOCUMENTS AND SETTINGS\DELL\LOCAL SETTINGS\TEMP\E_4\EXMLRPC.FNE
4) C:\DOCUMENTS AND SETTINGS\DELL\LOCAL SETTINGS\TEMP\E_4\DP1.FNE
5) C:\WINDOWS\SYSTEM32\PRSTSERV

[病毒样本] 1f9708 病毒？

浏览过的版块