最新变种~~

yuyando

原帖由 saga3721 于 2007-12-30 22:10 发表
红伞根本不用解压就杀掉了

截图?
几时的病毒库，还没报29号的病毒库（已上报

wangjay1980

detected: virus Virus.Win32.Xorer.dd        URL: http://bbs.kafan.cn/attachment.p ... //PE_Patch.UPX//UPX

yuyando

为什么我的红伞就没报呢刚才更新了下还是没报

[ 本帖最后由 yuyando 于 2007-12-31 12:00 编辑 ]

yjwfdc

小红伞c，默认设置，最新病毒库，查不出。

yjwfdc

e盾保护小伞，运行病毒后，一切正常，重启后也正常，下面日志.


2007-12-31 11:19:40    运行应用程序      操作:允许
进程路径:C:\Tools\wrar350sc_onegreen\WinRAR.exe
文件路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
触发规则:所有程序规则->*


2007-12-31 11:19:57    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avcenter.exe
触发规则:所有程序规则->*


2007-12-31 11:19:58    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avcenter.exe
触发规则:所有程序规则->*


2007-12-31 11:19:59    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avcenter.exe
触发规则:所有程序规则->*


2007-12-31 11:19:59    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avcenter.exe
触发规则:所有程序规则->*


2007-12-31 11:19:59    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
触发规则:黑名单->保护杀毒软件->C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe


2007-12-31 11:19:59    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
触发规则:黑名单->保护杀毒软件->C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe


2007-12-31 11:19:59    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
触发规则:黑名单->保护杀毒软件->C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe


2007-12-31 11:19:59    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
触发规则:黑名单->保护杀毒软件->C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe


2007-12-31 11:19:59    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
触发规则:黑名单->保护杀毒软件->C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe


2007-12-31 11:19:59    结束/挂起进程      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
目标进程:C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
触发规则:黑名单->保护杀毒软件->C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe


2007-12-31 11:20:02    删除注册表      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents
注册表名称:[Key]
触发规则:黑名单->注册防止修改开机运行-y->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents


2007-12-31 11:20:02    删除注册表      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:[Key]
触发规则:黑名单->注册防止修改开机运行-y->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run


2007-12-31 11:20:03    运行应用程序      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\cacls.exe
命令行:C:\WINDOWS\system32\com /e /t /g lwx:F
触发规则:所有程序规则->程序防止改文件属性-y->*\cacls.exe


2007-12-31 11:20:04    运行应用程序      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\cacls.exe
命令行:C:\WINDOWS\system32\com /e /t /g Everyone:F
触发规则:所有程序规则->程序防止改文件属性-y->*\cacls.exe


2007-12-31 11:20:05    创建文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\00302.log
触发规则:所有程序规则->全局设置_普通模式->%SystemDrive%\*


2007-12-31 11:20:05    创建文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\NetApi00.sys
触发规则:所有程序规则->全局设置_可执行文件1_普通模式->%SystemDrive%\*.sys


2007-12-31 11:20:05    创建注册表值      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\NetApi00
注册表名称:[Key]
触发规则:所有程序规则->服务_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-12-31 11:20:05    删除注册表      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\AntiVirService
注册表名称:[Key]
触发规则:所有程序规则->服务_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-12-31 11:20:05    运行应用程序      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c echo ok
触发规则:所有程序规则->系统程序_黑名单->*\cmd.exe


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:D:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:D:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:D:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:D:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:D:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:D:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:E:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:E:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:05    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:E:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:E:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:E:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:E:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:F:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:F:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:F:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:F:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:F:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:F:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:I:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:I:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:I:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:I:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:I:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    读取文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:I:\AUTORUN.INF
触发规则:所有程序规则->白名单与黑名单->?:\autorun.inf


2007-12-31 11:20:06    删除注册表      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0
注册表名称:[Key]
触发规则:黑名单->注册防止修改开机运行-y->HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0


2007-12-31 11:20:06    删除注册表      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers
注册表名称:[Key]
触发规则:黑名单->注册防止修改开机运行-y->HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers


2007-12-31 11:20:06    删除注册表      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer
注册表名称:[Key]
触发规则:黑名单->注册防止修改开机运行-y->HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer


2007-12-31 11:20:07    创建文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\com\SMSS.EXE
触发规则:黑名单->阻止建危险文件-y->*\smss.exe


2007-12-31 11:20:07    创建文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\com\netcfg.000
触发规则:所有程序规则->全局设置_普通模式->%SystemDrive%\*


2007-12-31 11:20:08    修改注册表内容      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Session Manager
注册表名称:PendingFileRenameOperations
注册表数据:\??\C:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\TEMP\AVUPDATE_47785c90\UPDENGVDFTEST
触发规则:所有程序规则->系统设置_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Control\Session Manager


2007-12-31 11:20:08    运行应用程序      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\regsvr32.exe
命令行:C:\WINDOWS\system32\com\netcfg.dll /s
触发规则:所有程序规则->注册控件(安装程序时用,平时小心病毒）->%windir%\system32\regsvr32.exe


2007-12-31 11:20:09    创建文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\com\LSASS.EXE
触发规则:黑名单->阻止建危险文件-y->*\lsass.exe


2007-12-31 11:20:09    创建文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\com\LSASS.EXE
触发规则:黑名单->阻止建危险文件-y->*\lsass.exe


2007-12-31 11:20:10    创建文件      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\com\LSASS.EXE
触发规则:黑名单->阻止建危险文件-y->*\lsass.exe


2007-12-31 11:20:12    运行应用程序      操作:阻止
进程路径:D:\RG60Plus\Temp\Rar$EX00.234\Setup.exe
文件路径:C:\WINDOWS\system32\ping.exe
命令行:-f -n 1 www.baidu.com
触发规则:所有程序规则->*

库洛洛

The file 'Setup.exe' has been determined to be 'MALWARE'. Our analysts named the threat TR/Xorer.DD. The term "TR/" denotes a trojan horse that is able to spy out data, to violate your privacy or carry out unwanted modifications to the system.Detection will be added to our virus definition file (VDF) with one of the next updates. Please note that Avira's proactive heuristic detection module AHeAD detected this threat up front without the latest VDF update as: PCK/FSG.