b0912fd395ca3dab7965f9b1ec652b8b

显示全部楼层 · 发表于 2014-11-25 23:23:34

FS Suspicious:W32/Malware!Gemini

显示全部楼层 · 发表于 2014-11-26 01:40:19

z2009 发表于 2014-11-25 20:42
过ess扫描，管家右键杀

2014/11/26 1:39:15 文件系统实时防护文件 C:\Users\***\Desktop\b0912fd395ca3dab7965f9b1ec652b8b Win32/Spy.Zbot.AAO 特洛伊木马通过删除清除 - 已隔离 XIA\sylvan 在应用程序新建的文件上发生事件: C:\Program Files\WinRAR\WinRAR.exe.

显示全部楼层 · 发表于 2014-11-26 11:08:23

密码是什么。。

显示全部楼层 · 发表于 2014-11-26 12:55:45

文件名: b0912fd395ca3dab7965f9b1ec652b8b
威胁名称: Trojan.Zbot完整路径: f:\norton样本\诺顿排除\b0912fd395ca3dab7965f9b1ec652b8b

____________________________

____________________________

____________________________

b0912fd395ca3dab7965f9b1ec652b8b 威胁名称: Trojan.Zbot
定位

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

____________________________

来源: 外部介质

源文件:
winrar.exe

创建的文件:
b0912fd395ca3dab7965f9b1ec652b8b

____________________________

文件操作

文件: c:\users\administrator\appdata\local\virtualstore\windows\system32\ ntos.exe 需要重新启动
文件: c:\windows\system32\ ntos.exe 需要重新启动
文件: c:\users\administrator\appdata\local\virtualstore\windows\system32\wsnpoem\ audio.dll 需要重新启动
文件: c:\windows\system32\wsnpoem\ audio.dll 需要重新启动
文件: c:\users\administrator\appdata\local\virtualstore\windows\system32\wsnpoem\ video.dll 需要重新启动
文件: c:\windows\system32\wsnpoem\ video.dll 需要重新启动
文件: c:\users\administrator\appdata\local\virtualstore\windows\system32\ wsnpoem 需要重新启动
文件: c:\windows\system32\ wsnpoem 需要重新启动
受感染文件: f:\norton样本\诺顿排除\ b0912fd395ca3dab7965f9b1ec652b8b 已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\ ->DisableTaskMgr:0 需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ system->EnableLUA:1 需要重新启动
注册表更改: HKEY_USERS\S-1-5-19\Software\ gHcq8R9 需要重新启动
注册表更改: HKEY_USERS\S-1-5-20\Software\ gHcq8R9 需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\ gHcq8R9 需要重新启动
注册表更改: HKEY_USERS\.DEFAULT\Software\ gHcq8R9 需要重新启动
注册表更改: HKEY_CLASSES_ROOT\CLSID\ {DE7CBE17-0368-40E2-8357-1639DA027BAB} 需要重新启动
注册表更改: HKEY_CLASSES_ROOT\ PPT_Test.Application 需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon->Userinit:C:\Windows\system32\ userinit.exe, 需要重新启动
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\ Run->userinit 需要重新启动
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\ Run->userinit 需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\ Run->userinit 需要重新启动
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\ Run->userinit 需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\ CurrentVersion->Win32 需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Network->UID 需要重新启动
注册表更改: HKEY_USERS\S-1-5-19\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Network->UID 需要重新启动
注册表更改: HKEY_USERS\S-1-5-20\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Network->UID 需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Network->UID 需要重新启动
注册表更改: HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Network->UID 需要重新启动
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\ {19127AD2-394B-70F5-C650-B97867BAA1F7} 需要重新启动
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\ {19127AD2-394B-70F5-C650-B97867BAA1F7} 需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\Explorer\ {19127AD2-394B-70F5-C650-B97867BAA1F7} 需要重新启动
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\ {19127AD2-394B-70F5-C650-B97867BAA1F7} 需要重新启动
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\ {35106240-D2F0-DB35-716E-127EB80A0299} 需要重新启动
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\ {35106240-D2F0-DB35-716E-127EB80A0299} 需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\Explorer\ {35106240-D2F0-DB35-716E-127EB80A0299} 需要重新启动
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\ {35106240-D2F0-DB35-716E-127EB80A0299} 需要重新启动
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\ {43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} 需要重新启动
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\ {43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} 需要重新启动
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\Explorer\ {43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} 需要重新启动
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\ {43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} 需要重新启动
注册表更改: HKEY_CLASSES_ROOT\ Cad.Document 需要重新启动
注册表更改: HKEY_CLASSES_ROOT\ .max 需要重新启动
注册表更改: HKEY_CLASSES_ROOT\ Matrix.Document 需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ .max 需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ Matrix.Document 需要重新启动
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Policies\System\ ->DisableTaskMgr:0 需要重新启动
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Policies\System\ ->DisableTaskMgr:0 需要重新启动
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\System\ ->DisableTaskMgr:0 需要重新启动
____________________________

文件指纹 - SHA:
cff98b864287ad8d37cdb41bad6c0b5509c4810e217280d28f261c9ebc54220d
文件指纹 - MD5:
不可用

显示全部楼层 · 发表于 2014-11-26 12:58:02

显示全部楼层 · 发表于 2014-11-26 18:11:20

月神kill

显示全部楼层 · 发表于 2014-11-26 20:43:09

[mw_shl_code=css,true]"";"特洛伊木马 Zbot.VLA, C:\Users\hh\Desktop\b0912fd395ca3dab7965f9b1ec652b8b";"恶意文件"
[/mw_shl_code]

[病毒样本] b0912fd395ca3dab7965f9b1ec652b8b

本帖子中包含更多资源

本帖子中包含更多资源