2008 可疑物品

sanhu35

妹妹早上装东西  很多可疑的 东西
大家扫扫
没密码

无尽藏海

Begin scan in 'D:\Downloads\样本\123'
D:\Downloads\样本\123\123.exe
      [DETECTION] Contains a detection pattern of the (dangerous) backdoor program BDS/Hupigon.alkx Backdoor server programs
      [WARNING]   The file was ignored!
D:\Downloads\样本\123\1\98032C.exe
      [WARNING]   The file could not be opened!
D:\Downloads\样本\123\2\0165.exe
      [WARNING]   The file could not be opened!




蜘蛛  2个

[ 本帖最后由 无尽藏海 于 2008-1-1 12:53 编辑 ]

jimmyleo

D:\download\virusscan\1.rar=>1\98032C.exe        suspected: Dropped:Generic.Malware.Sdldg.710809AC
D:\download\virusscan\1.rar=>1\a.exe        infected: DeepScan:Generic.Malware.SWYddldg.AF226DC8
D:\download\virusscan\2.rar=>2\MicroSoftImm.exe        infected: Trojan.Delf.OVC

a256886572008

2008-01-01 13:40:37    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\98032C.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2008-01-01 13:40:40    建立檔案      操作:允許
程序路徑:D:\98032C.exe
檔案路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\98032C.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe


2008-01-01 13:40:42    建立檔案      操作:允許
程序路徑:D:\98032C.exe
檔案路徑:C:\WINDOWS\aaaaabbbdd.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2008-01-01 13:41:10    執行應用程序      操作:允許
程序路徑:D:\98032C.exe
檔案路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\98032C.exe
觸發規則:所有程序規則->*


2008-01-01 13:41:14    建立檔案      操作:允許
程序路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\98032C.exe
檔案路徑:C:\WINDOWS\system\zhqb071230.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe


2008-01-01 13:41:16    建立檔案      操作:允許
程序路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\98032C.exe
檔案路徑:C:\WINDOWS\zhqbdf16.ini
觸發規則:所有程序規則->全域設定_普通模式->*

2008-01-01 13:41:21    建立檔案      操作:允許
程序路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\98032C.exe
檔案路徑:C:\WINDOWS\system\zhqbdf071230.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2008-01-01 13:42:07    執行應用程序      操作:允許
程序路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\98032C.exe
檔案路徑:C:\WINDOWS\system32\rundll32.exe
指令列:C:\WINDOWS\system\zhqbdf071230.dll mymain
觸發規則:所有程序規則->*


2008-01-01 13:42:24    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\rundll32.exe
檔案路徑:C:\zhqbdf.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->%SystemDrive%\*.bat

2008-01-01 13:42:53    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\rundll32.exe
檔案路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\98032C.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-01 13:42:25    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\rundll32.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c c:\zhqbdf.bat
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2008-01-01 13:42:29    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\WINDOWS\system\zhqb071230.exe
指令列:i
觸發規則:所有程序規則->*

2008-01-01 13:43:58    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\zhqbdf.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->%SystemDrive%\*.bat

2008-01-01 13:42:49    建立登錄檔值      操作:封鎖
程序路徑:C:\WINDOWS\system\zhqb071230.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
登錄檔名稱:zhqbdf
登錄檔數值:rundll32.exe C:\WINDOWS\system\zhqbdf071230.dll mymain
觸發規則:所有程序規則->其他重要項->*\Software\Microsoft\Windows\Currentversion\Policies*

2008-01-01 13:42:57    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system\zhqb071230.exe
檔案路徑:C:\Documents and Settings\Hung Jui Hung\「開始」功能表\程式集\啟動\dfzhqb.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-01 13:43:03    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system\zhqb071230.exe
檔案路徑:C:\WINDOWS\system\zhqb32.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2008-01-01 13:43:07    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system\zhqb071230.exe
檔案路徑:C:\program files\internet explorer\iexplore.exe
觸發規則:所有程序規則->系統程式_白名單->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE


2008-01-01 13:43:38    修改其它程序記憶體      操作:允許
程序路徑:C:\WINDOWS\system\zhqb071230.exe
目標程序:C:\program files\internet explorer\iexplore.exe
觸發規則:所有程序規則->*


2008-01-01 13:43:54    建立遠端執行緒      操作:允許
程序路徑:C:\WINDOWS\system\zhqb071230.exe
目標程序:C:\program files\internet explorer\iexplore.exe
觸發規則:所有程序規則->*

2008-01-01 13:44:34    建立檔案      操作:允許
程序路徑:C:\program files\internet explorer\iexplore.exe
檔案路徑:C:\WINDOWS\mydown.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-01 13:44:46    建立檔案      操作:允許
程序路徑:C:\program files\internet explorer\iexplore.exe
檔案路徑:C:\WINDOWS\zsmsdf32.ini
觸發規則:所有程序規則->全域設定_普通模式->*


2008-01-01 13:44:49    建立檔案      操作:允許
程序路徑:C:\program files\internet explorer\iexplore.exe
檔案路徑:C:\WINDOWS\active.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-01 13:44:57    建立檔案      操作:允許
程序路徑:C:\program files\internet explorer\iexplore.exe
檔案路徑:C:\WINDOWS\install.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-01 13:45:04    刪除檔案      操作:封鎖
程序路徑:C:\program files\internet explorer\iexplore.exe
檔案路徑:C:\WINDOWS\system32\drivers\etc\hosts
觸發規則:所有程序規則->需要保護的檔案->%WinDir%\system32\drivers\etc\hosts


2008-01-01 13:45:08    修改檔案      操作:封鎖
程序路徑:C:\program files\internet explorer\iexplore.exe
檔案路徑:C:\WINDOWS\system32\drivers\etc\hosts
觸發規則:所有程序規則->需要保護的檔案->%WinDir%\system32\drivers\etc\hosts

2008-01-01 13:45:14    建立登錄檔值      操作:封鎖
程序路徑:C:\program files\internet explorer\iexplore.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\GLF49.tmp.exe
登錄檔名稱:[Key]
觸發規則:所有程序規則->其他重要項->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*

開始 IFEO 映像劫持

[ 本帖最后由 a256886572008 于 2008-1-1 14:07 编辑 ]

jimmyleo

[Found possible security risk] <W32/Heuristic-162!Eldorado (not disinfectable)>         D:\download\virusscan\1.rar->1\98032C.exe->(PecBundle)->(PECompact)
[Found downloader] <W32/Downloader.D.gen!Eldorado (generic, not disinfectable)>         D:\download\virusscan\1.rar->1\my_70337.exe
[Found possible security risk] <W32/Heuristic-162!Eldorado (not disinfectable)>         D:\download\virusscan\2.rar->2\0165.exe->(PecBundle)->(PECompact)
[Found possible security risk] <W32/Heuristic-162!Eldorado (not disinfectable)>         D:\download\virusscan\2.rar->2\MicroSoftImm.exe->(PecBundle)->(PECompact)

jimmyleo

小咖啡开始报壳了……
D:\DOWNLOAD\VIRUSSCAN\2.rar\MICROSOFTIMM.EXE ... Found the Generic packed trojan !!!

jimmyleo

>>> File "D:\download\virusscan\1.rar\1\98032C.exe" has been identified as suspicious 'Sus/Malware-A'.
>>> File "D:\download\virusscan\2.rar\2\0165.exe" has been identified as suspicious 'Sus/Malware-A'.
>>> Virus 'Troj/Agent-GJL' found in file D:\download\virusscan\2.rar\2\MicroSoftImm.exe

sophos还有个已知……

a256886572008

a.exe 不是正確的 Win32應用程式！

svchost.exe ，運行之後，沒反應！

2008-01-01 14:12:06    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\my_70337.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2008-01-01 14:14:34    建立檔案      操作:允許
程序路徑:D:\my_70337.exe
檔案路徑:C:\WINDOWS\tempaq
觸發規則:所有程序規則->全域設定_普通模式->*

2008-01-01 14:14:42    執行應用程序      操作:允許
程序路徑:D:\my_70337.exe
檔案路徑:D:\my_70337.exe
指令列:"C:\WINDOWS\tempaq" 70337
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2008-01-01 14:14:47    執行應用程序      操作:允許
程序路徑:D:\my_70337.exe
檔案路徑:C:\WINDOWS\tempaq
指令列:70337
觸發規則:所有程序規則->*

2008-01-01 14:15:14    建立檔案      操作:封鎖
程序路徑:C:\WINDOWS\tempaq
檔案路徑:D:\Favorites\彶紲.url
觸發規則:所有程序規則->全域設定_普通模式->*


2008-01-01 14:15:17    建立檔案      操作:允許
程序路徑:C:\WINDOWS\tempaq
檔案路徑:C:\WINDOWS\system32\drivers\szz6h.sys
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.sys

2008-01-01 14:15:22    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\szz6h
登錄檔名稱:[Key]
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-01 14:15:23    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:C:\WINDOWS\system32\drivers\szz6h.sys
觸發規則:所有程序規則->*


2008-01-01 14:15:24    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\szz6h
登錄檔名稱:ImagePath
登錄檔數值:\??\C:\WINDOWS\system32\drivers\szz6h.sys
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-01 14:15:25    載入驅動程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\services.exe
裝置名稱:szz6h
觸發規則:所有程序規則->*


2008-01-01 14:15:27    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\tempaq
檔案路徑:system32\drivers\szz6h.sys
觸發規則:所有程序規則->*

2008-01-01 14:15:34    建立檔案      操作:允許
程序路徑:C:\WINDOWS\tempaq
檔案路徑:C:\WINDOWS\system32\drivers\l7qj.sys
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.sys

2008-01-01 14:15:38    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\l7qj
登錄檔名稱:[Key]
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-01 14:15:39    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:C:\WINDOWS\system32\drivers\l7qj.sys
觸發規則:所有程序規則->*


2008-01-01 14:15:41    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\l7qj
登錄檔名稱:ImagePath
登錄檔數值:\??\C:\WINDOWS\system32\drivers\l7qj.sys
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-01 14:15:42    載入驅動程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\services.exe
裝置名稱:l7qj
觸發規則:所有程序規則->*


2008-01-01 14:15:43    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\tempaq
檔案路徑:system32\drivers\l7qj.sys
觸發規則:所有程序規則->*

2008-01-01 14:15:48    建立檔案      操作:允許
程序路徑:C:\WINDOWS\tempaq
檔案路徑:C:\WINDOWS\system32\tou7gda.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

[ 本帖最后由 a256886572008 于 2008-1-1 14:19 编辑 ]

IllusionWing

只有两个...

29159011

扫描
已删除: 病毒 Worm.Win32.Wogue.ay        文件: C:\Documents and Settings\Administrator\桌面\1.rar/1\a.exe
已删除: 木马程序 Trojan-Downloader.Win32.Delf.dqk        文件: C:\Documents and Settings\Administrator\桌面\2.rar/2\0165.exe//PE_Patch.PECompact//PecBundle//PECompact
主动防御
程序模块 C:\Documents and Settings\Administrator\Local Settings\Temp\98032C.exe 已安装并且在无用户操作的干预的情况下运行。此行为与木马下载器/Dropper 相同。

进程正尝试通过安装驱动来获取对系统的完全访问。正在从文件\??\C:\windows\system32\drivers\mvlyy1q.sys写入系统注册表键值。