sys.exe是不是病毒？

显示全部楼层 · 发表于 2014-7-20 19:38:49

什么危害？怎么彻底删除？

显示全部楼层 · 发表于 2014-7-20 19:41:04

本帖最后由 fuzhk 于 2014-7-20 19:48 编辑

：http://fireeye.ijinshan.com/anal ... 337ad09b8f4962#full

显示全部楼层 · 发表于 2014-7-20 19:42:50

fuzhk 发表于 2014-7-20 19:41
不是新品种：http://fireeye.ijinshan.com/analyse.html?md5=7585ae235ecd8c9d3176c1948a927718&sha1=313c5 ...

那是不是我把启动文件夹里面的文件删除就没事了？

显示全部楼层 · 发表于 2014-7-20 19:43:36

本帖最后由深山红叶__ 于 2014-7-20 20:03 编辑

修改、删除了一大堆乱七八糟的reg
改回主页：
进入HKCU\SOFTWARE\Microsoft\Internet explorer\Main
删除Default_Page_URL
start page改回about:blank
进入HKLM\SOFTWARE\Microsoft\Internet explorer\Main
Default_Page_URL改为about:blank
start page改回about:blank

其他注册表的修改毫无逻辑，应该没有威胁，按照上面的改就行了

显示全部楼层 · 发表于 2014-7-20 19:47:07

本帖最后由 fuzhk 于 2014-7-20 19:50 编辑

arcania 发表于 2014-7-20 19:42
那是不是我把启动文件夹里面的文件删除就没事了？

行为描述：修改用户的浏览器主页，常被病毒利用来做推广
附加信息：http://www.chn112.com/

伪装成输入法？？？
行为描述：添加开机自启动项
附加信息：[ctfmon.exe] - %system%\ctfmon.exe

恐怕没有这么简单，等4楼测完了你问他怎么处理吧，

他可是高手。

显示全部楼层 · 发表于 2014-7-20 19:48:35

本帖最后由 arcania 于 2014-7-20 19:51 编辑

fuzhk 发表于 2014-7-20 19:47
行为描述：修改用户的浏览器主页，常被病毒利用来做推广
附加信息：http://www.chn112.com/

非常感谢

好的，我刚刚把文件上传给了ESET，不知什么时候有回复。

显示全部楼层 · 发表于 2014-7-20 19:48:46

时间	事件	结果	附加信息
2014/7/20 19:46	系统内核加固	阻止sys.exe	规则ID：131271008 防护类型：修改进程：C:\Users\123\Desktop\sys.exe 注册表路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
2014/7/20 19:46	系统内核加固	阻止sys.exe	规则ID：131270960 防护类型：修改进程：C:\Users\123\Desktop\sys.exe 注册表路径：HKEY_USERS\S-1-5-21-3325087568-3306842301-3112582926-1001\Software\Microsoft\Internet Explorer\Main
2014/7/20 19:46	系统内核加固	阻止sys.exe	规则ID：131270960 防护类型：打开进程：C:\Users\123\Desktop\sys.exe 文件路径：C:\Windows\System32\cmd.exe

显示全部楼层 · 发表于 2014-7-20 19:50:39

瓜g 发表于 2014-7-20 19:48

感谢
这玩意儿已经在我电脑里面占窝了，现在就想知道咋把它彻底删除掉。

显示全部楼层 · 发表于 2014-7-20 19:51:15

arcania 发表于 2014-7-20 19:50
感谢
这玩意儿已经在我电脑里面占窝了，现在就想知道咋把它彻底删除掉。

用数字急救箱扫扫

显示全部楼层 · 发表于 2014-7-20 20:01:01

本帖最后由 fuzhk 于 2014-7-20 20:17 编辑

楼主，4楼分析完成了，看来是该主页啊

[可疑文件] sys.exe是不是病毒？

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块