runtime 微点预升级来测试！

Nblock

微点杀完试着打开主界面?  通讯受阻不能打开的重新启动计算机 用微点的可疑程序诊断下，

http://media.ccidnet.com/art/5441/20060529/565797_1.html
http://www.0ginr.com/bbs/viewthread.php?tid=412&extra=page%3D1

[ 本帖最后由 Nblock 于 2007-12-27 15:08 编辑 ]

jick117

卡巴杀：

sharkkong

卡巴斯基反病毒软件 7.0
The requested URL http://bbs.kafan.cn/attachment.php?aid=173133 is infected with Trojan-Dropper.Win32.Agent.dgf virus

库洛洛

Starting the file scan:

Begin scan in 'E:\hard.rar'
E:\hard.rar
  [0] Archive type: RAR
  --> hard.scr
      [DETECTION] Is the Trojan horse TR/Dropper.Gen
      [INFO]      The file was deleted!

zhr5898

Starting the file scan:

Begin scan in 'D:\hard'
D:\hard\hard.scr
      [DETECTION] Is the Trojan horse TR/Dropper.Gen
      [WARNING]   The file was ignored!

zhr5898

程序:
C:\WINDOWS\SYSTEM32\DRIVERS\IP6FW.SYS
是否删除木马程序及其衍生物?
确实跟楼主说的一样·····

The EQs

刚刚为这个增加特征码了
C:\Documents and Settings\Don johnson\桌面\hard.rar » RAR » hard.scr - Win32/TrojanDownloader.Agent.NUB trojan

a256886572008

2007-12-23 21:34:51    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\hard.scr
指令列:/S
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2007-12-23 21:34:54    載入驅動程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\services.exe
裝置名稱:Ip6Fw
觸發規則:所有程序規則->*

2007-12-23 21:34:56    建立檔案      操作:允許
程序路徑:D:\hard.scr
檔案路徑:C:\WINDOWS\System32\drivers\runtime.sys
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.sys


2007-12-23 21:34:58    建立登錄檔值      操作:允許
程序路徑:D:\hard.scr
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\runtime
登錄檔名稱:[Key]
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-12-23 21:34:59    安裝服務或驅動      操作:允許
程序路徑:D:\hard.scr
檔案路徑:C:\WINDOWS\System32\drivers\runtime.sys
觸發規則:所有程序規則->*


2007-12-23 21:35:01    建立登錄檔值      操作:允許
程序路徑:D:\hard.scr
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\runtime
登錄檔名稱:ImagePath
登錄檔數值:\??\C:\WINDOWS\System32\drivers\runtime.sys
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-12-23 21:35:03    載入驅動程序      操作:封鎖
程序路徑:D:\hard.scr
裝置名稱:runtime
觸發規則:所有程序規則->*

2007-12-23 21:35:10    刪除檔案      操作:允許
程序路徑:D:\hard.scr
檔案路徑:C:\WINDOWS\system32\drivers\runtime.sys
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.sys

2007-12-23 21:36:19    執行應用程序      操作:允許
程序路徑:C:\Program Files\Internet Explorer\IEXPLORE.EXE
檔案路徑:C:\WINDOWS\system32\svchost.exe
觸發規則:所有程序規則->*


2007-12-23 21:36:21    修改其它程序記憶體      操作:允許
程序路徑:C:\Program Files\Internet Explorer\IEXPLORE.EXE
目標程序:C:\WINDOWS\system32\svchost.exe
觸發規則:所有程序規則->*


2007-12-23 21:36:24    建立遠端執行緒      操作:允許
程序路徑:C:\Program Files\Internet Explorer\IEXPLORE.EXE
目標程序:C:\WINDOWS\system32\svchost.exe
觸發規則:所有程序規則->*

2007-12-23 21:38:11    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\svchost.exe
檔案路徑:C:\Program Files\Internet Explorer\IEXPLORE.EXE
觸發規則:所有程序規則->系統程式_白名單->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE


2007-12-23 21:38:14    修改其它程序記憶體      操作:允許
程序路徑:C:\WINDOWS\system32\svchost.exe
目標程序:C:\Program Files\Internet Explorer\IEXPLORE.EXE
觸發規則:所有程序規則->*


2007-12-23 21:38:16    建立遠端執行緒      操作:允許
程序路徑:C:\WINDOWS\system32\svchost.exe
目標程序:C:\Program Files\Internet Explorer\IEXPLORE.EXE
觸發規則:所有程序規則->*

再來，會利用上面這個IE會經由 port 25 傳送一堆資料，到很多個IP

a256886572008

再來測試他下載的2258765.exe

2007-12-23 21:56:48    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\2258765.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2007-12-23 21:57:01    建立登錄檔值      操作:允許
程序路徑:D:\2258765.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Bfj60.sys
登錄檔名稱:[Key]
觸發規則:所有程序規則->系統設定->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2007-12-23 21:57:03    建立登錄檔值      操作:允許
程序路徑:D:\2258765.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\Bfj60.sys
登錄檔名稱:[Default]
觸發規則:所有程序規則->系統設定->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2007-12-23 21:57:05    建立登錄檔值      操作:允許
程序路徑:D:\2258765.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Bfj60.sys
登錄檔名稱:[Key]
觸發規則:所有程序規則->系統設定->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2007-12-23 21:57:07    建立登錄檔值      操作:允許
程序路徑:D:\2258765.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\Bfj60.sys
登錄檔名稱:[Default]
觸發規則:所有程序規則->系統設定->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*

2007-12-23 21:57:10    建立檔案      操作:允許
程序路徑:D:\2258765.exe
檔案路徑:C:\WINDOWS\System32\drivers\Bfj60.sys
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.sys


2007-12-23 21:57:12    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Bfj60
登錄檔名稱:[Key]
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-12-23 21:57:14    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:C:\WINDOWS\System32\drivers\Bfj60.sys
觸發規則:所有程序規則->*


2007-12-23 21:57:16    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Bfj60
登錄檔名稱:ImagePath
登錄檔數值:\??\C:\WINDOWS\System32\drivers\Bfj60.sys
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-12-23 21:57:18    載入驅動程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\services.exe
裝置名稱:Bfj60
觸發規則:所有程序規則->*

2007-12-23 21:57:20    執行應用程序      操作:允許
程序路徑:D:\2258765.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c del D:\2258765.exe >> NUL
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2007-12-23 21:57:21    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:D:\2258765.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

qigang

Rising20.23.62未杀！