敲竹杠来一发，更新第二个！！

Qutianshang

1248663054 发表于 2014-6-21 00:28
这种东东怎么那么多  虽然我一个都没遇到过

这都是有人中招之后求援的

会飞的猫

2014-6-22 17:27:24        c:\documents and settings\administrator\my documents\downloads\compressed\{越南飞车}zing speed自动边境最新版.exe        修改文件        C:\WINDOWS\Debug\UserMode\userenv.log        阻止        [文件组]只读磁盘 -> [文件]c:\*       
2014-6-22 17:27:32        c:\documents and settings\administrator\my documents\downloads\compressed\{越南飞车}zing speed自动边境最新版.exe        创建新进程        c:\windows\system32\net.exe        阻止        [应用程序]* -> [子应用程序]『禁运』黑名单        命令行: net user Administrator /fullname:想知道密码请联系QQ1597839907
2014-6-22 17:27:32        c:\documents and settings\administrator\my documents\downloads\compressed\{越南飞车}zing speed自动边境最新版.exe        创建新进程        c:\windows\system32\net.exe        阻止        [应用程序]* -> [子应用程序]『禁运』黑名单        命令行: net user administrator  mima123456789
这是把密码修改成了[mima123456789]
2014-6-22 17:27:34        c:\documents and settings\administrator\my documents\downloads\compressed\{越南飞车}zing speed自动边境最新版.exe        访问网络        TCP [本机 : 1839] ->  [116.52.39.12 : 80 (http)]        阻止        [网络]TCP [本机 : 任意端口] -> [任意地址 : 80]
116.52.39.12中国 云南省 昆明市 电信 也不知道真假        

会飞的猫

2014-6-22 17:39:48        c:\documents and settings\administrator\桌面\免费领取超级会员一个月.exe        创建新进程        c:\windows\system32\net.exe        阻止        [应用程序]* -> [子应用程序]『禁运』黑名单        命令行: net user Administrator 13111248559
2014-6-22 17:39:48        c:\documents and settings\administrator\桌面\免费领取超级会员一个月.exe        创建新进程        c:\windows\system32\net.exe        阻止        [应用程序]* -> [子应用程序]『禁运』黑名单        命令行: net user Administrator /fullname:小熙Qq894039041
2014-6-22 17:39:48        c:\documents and settings\administrator\桌面\免费领取超级会员一个月.exe        修改注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\免费领取超级会员一个月.exe        阻止        [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*        值: C:\Documents and Settings\Administrator\桌面\免费领取超级会员一个月.exe

密码13111248559 并自动启动
13111248559  山西运城  联通

q381516401

双击了，悲哀了，大蜘蛛拦不住。

1654637359

Kaspersky
Endpoint Security 10 for Windows
访问被拒绝
无法提供所请求的网页.

所请求的对象位于网址

https://att.kafan.cn/forum.php?mod=
attachment&aid=mjq1otczn3w0mtzhmzhknhwxn
dazndg0otixfdkxnzqymhwxnzq3mdky


已感染 Trojan-PSW.Win32.QQPass.ccnf
消息生成日期： 8:56:29

sanhu35

2014/6/24 21:26:56    创建新进程    阻止
进程: c:\users\sanhu35\desktop\免费领取超级会员一个月,密码123\免费领取超级会员一个月.exe
目标: c:\windows\system32\net.exe
命令行: net user Administrator 13111248559
规则: [应用程序]* -> [子应用程序]『禁运』黑名单

2014/6/24 21:26:56    创建新进程    阻止
进程: c:\users\sanhu35\desktop\免费领取超级会员一个月,密码123\免费领取超级会员一个月.exe
目标: c:\windows\system32\net.exe
命令行: net user Administrator /fullname:小熙Qq894039041
规则: [应用程序]* -> [子应用程序]『禁运』黑名单

2014/6/24 21:26:56    修改注册表值    阻止
进程: c:\users\sanhu35\desktop\免费领取超级会员一个月,密码123\免费领取超级会员一个月.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\免费领取超级会员一个月.exe
值: C:\Users\sanhu35\Desktop\免费领取超级会员一个月,密码123\免费领取超级会员一个月.exe
规则: [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

Lethe_

消停 发表于 2014-6-16 11:04
诺顿杀了文件，但防御失败密码被改了！

文件名: 免费领取超级会员一个月.exe

铁壳沦陷多次了

消停

Lethe_ 发表于 2014-6-24 21:34
铁壳沦陷多次了

这不可怕，可怕的是上报都不入库！

Lethe_

消停 发表于 2014-6-25 07:38
这不可怕，可怕的是上报都不入库！

不是说大陆有技术人员

Genes

vm001 发表于 2014-6-16 10:50
还是老样本

威武，，幸亏我在虚拟机里运行的。