请高人帮忙看一下这个文件

lolor

我是菜鸟一个，这个程序ESS报Qhosts，但是安装后没有发现hosts被更改，由于不希望系统存在不安全的软件，所以恳请各位高人分析一下。
下载地址：
http://www.wikifortio.com/787050
火眼的地址，但是看不懂
http://fireeye.ijinshan.com/anal ... 51c6bc55060926#full
我安装时没有勾选屏蔽广告那一项，是不是因此没有修改HOSTS？请问是盗号木马么？如何清除？

2221000789

正在下载中！

lolor

辛苦你啦，感谢！

2221000789

lolor

行为描述：启动宿主进程，注入代码，修改EIP执行自己的代码，偷梁换柱，使用户认为是正常的进程
附加信息：%system%\verclsid.exe
请教一下火眼分析以上的描述是不是说：有程序挂在verclsid.exe上面运行？
我运行PChunter查看了一下，没发现这个进程啊

而且程序还隐藏了4个文件和目录，很可疑啊
行为描述：设置文件属性
附加信息：%system%\drivers\etc\hosts >> HIDE
%system%\drivers\etc\hosts >> HIDE
%temp%\is-L2ACK.tmp\Imain.reg >> HIDE
D:\TDDOWNLOAD\desktop.ini >> HIDE

2221000789

lolor 发表于 2015-3-3 02:05
辛苦你啦，感谢！

我是新人，问一下之后有写注册表或者驱动吗？ 我没有双击测试

lolor

我更是菜鸟，不过我在虚拟机里用malware defender 记录了一下触发的规则，有写注册表和dll文件的
[mw_shl_code=css,true]2015-3-3 02:31:28        c:\documents and settings\administrator\桌面\thunderv5.9.28.1564_by_suda.exe        创建新进程        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        允许        [应用程序]*        命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\is-8TCD9.tmp\ThunderV5.9.28.1564_By_Suda.tmp" /SL5="$60320,8270756,58880,C:\Documents and Settings\Administrator\桌面\ThunderV5.9.28.1564_By_Suda.exe"
2015-3-3 02:31:29        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Documents and Settings\Administrator\Local Settings\Temp\is-B97E5.tmp\_isetup\_shfoldr.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:29        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Documents and Settings\Administrator\Local Settings\Temp\is-B97E5.tmp\_isetup\_iscrypt.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:29        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Documents and Settings\Administrator\Local Settings\Temp\is-B97E5.tmp\gifctrl.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:48        c:\windows\system32\services.exe        向其他进程发送消息        c:\windows\system32\csrss.exe        允许        [应用程序]c:\windows\system32\services.exe        消息: WM_DEVICECHANGE
2015-3-3 02:31:48        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\unins000.exe        允许        [文件组]所有执行文件 -> [文件]*; *.exe       
2015-3-3 02:31:49        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Common Files\迅雷5\istask.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:49        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\atl71.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:49        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\libexpat.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:50        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\LinkSimulate.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:50        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\msvcp71.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:50        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\msvcr71.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:50        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\TDMediaDetector.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:51        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\ThunderAgent.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:51        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\UserAgent.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:52        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\XunLeiBHO.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:52        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\zlib1.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:52        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\BrowserHelp\ed2kProcess.exe        允许        [文件组]所有执行文件 -> [文件]*; *.exe       
2015-3-3 02:31:52        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\BrowserHelp\ThunderComponent.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:53        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\BrowserHelp\XLNonIESvr.exe        允许        [文件组]所有执行文件 -> [文件]*; *.exe       
2015-3-3 02:31:53        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\DownloadHelper\js\select.js        允许        [文件组]所有执行文件 -> [文件]*; *.js       
2015-3-3 02:31:54        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\al.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:55        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\asyn_frame.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:55        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\backend_agent.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:55        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\BaseIM.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:56        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\bt_kernel.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:56        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\bt_shell.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:56        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\ConfigPane.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:57        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\DllNewTask.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:57        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\dl_peer_id.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:58        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\download_engine.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:58        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\download_interface.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:58        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\down_dispatcher.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:59        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\emule_kernel.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:59        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\emule_shell.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:59        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\FloatPanel.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:31:59        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\fs.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:00        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\GBLCategory.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:00        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\giflib4.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:00        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\GougouSearch.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:00        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\hoc.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:01        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\http.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:01        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\libexpat.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:01        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\libjpeg6b.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:02        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\liblua.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:02        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\libpng13.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:02        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\media_data.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:03        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\MFC71u.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:03        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\minizip.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:04        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\mini_unzip_dll.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:04        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\module_downloader.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:04        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\mp.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:04        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\msvcirt.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:05        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\p2p.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:05        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\p2ptl2.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:05        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\p2p_cloud.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:05        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\p2p_local_res.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:06        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\p2p_session_com.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:06        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\p2p_upload.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:07        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\p2sp.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:07        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\pncrt.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:08        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\ptl.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:08        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\SkinEngine2.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:08        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\sqlite3.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:09        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\task_report.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:09        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\tcphoc.sys        允许        [文件组]所有执行文件 -> [文件]*; *.sys       
2015-3-3 02:32:10        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\Thunder.exe        允许        [文件组]所有执行文件 -> [文件]*; *.exe       
2015-3-3 02:32:10        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\ThunderFW.exe        允许        [文件组]所有执行文件 -> [文件]*; *.exe       
2015-3-3 02:32:10        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\ThunderS.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:11        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\ThunderSmartLimiter.exe        允许        [文件组]所有执行文件 -> [文件]*; *.exe       
2015-3-3 02:32:11        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\ThunderStorage.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:11        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\UACTool.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:12        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\udt.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:12        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\upnp.exe        允许        [文件组]所有执行文件 -> [文件]*; *.exe       
2015-3-3 02:32:12        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\Win7Trait.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:13        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLBugHandler.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:13        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLCP.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:13        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLCrypto.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:13        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLGraphic.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:14        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLGUIDevEnv.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:14        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLGUIPlatform.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:14        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLI18N.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:14        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLI18NEX.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:15        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLLuaRuntime.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:15        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\xlnetdispat_vista.sys        允许        [文件组]所有执行文件 -> [文件]*; *.sys       
2015-3-3 02:32:15        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\xlnetdispat_win7.sys        允许        [文件组]所有执行文件 -> [文件]*; *.sys       
2015-3-3 02:32:15        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\xlnetdispat_xp.sys        允许        [文件组]所有执行文件 -> [文件]*; *.sys       
2015-3-3 02:32:16        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLNetU.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:16        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\xlnet_manager.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:16        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLRepair.exe        允许        [文件组]所有执行文件 -> [文件]*; *.exe       
2015-3-3 02:32:16        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLUser.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:17        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\XLWebDownload.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:17        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\xl_client.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:17        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\xl_data.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:17        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\xl_stat_client.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:18        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\Program\zlib1.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:19        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\UserData\Components\BaseCommunity\BaseCommunity.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:20        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\UserData\Components\BaseCommunity\local\js\common.js        允许        [文件组]所有执行文件 -> [文件]*; *.js       
2015-3-3 02:32:20        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\Program Files\Thunder Network\Thunder\UserData\Components\BaseCommunity\local\js\jindou.js        允许        [文件组]所有执行文件 -> [文件]*; *.js       
2015-3-3 02:32:21        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建文件        C:\WINDOWS\system32\atl71.dll        允许        [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll       
2015-3-3 02:32:22        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建新进程        c:\windows\system32\regsvr32.exe        允许        [应用程序]*        命令行: "C:\WINDOWS\system32\regsvr32.exe" /s "C:\Program Files\Thunder Network\Thunder\ComDlls\ThunderAgent.dll"
2015-3-3 02:32:23        c:\windows\system32\regsvr32.exe        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\ThunderAgent5.9.28.1564.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:23        c:\windows\system32\regsvr32.exe        修改注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{485463B7-8FB2-4B3B-B29B-8B919B0EACCE}\InprocServer32        允许        [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\*\InProcServer32        值: C:\Program Files\Thunder Network\Thunder\ComDlls\ThunderAgent5.9.28.1564.dll
2015-3-3 02:32:25        c:\windows\system32\regsvr32.exe        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\xunleiBHO_Now.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:25        c:\windows\system32\regsvr32.exe        创建注册表项        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{889D2FEB-5411-4565-8998-1DD2C5261283}        允许        [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\*       
2015-3-3 02:32:27        c:\windows\system32\regsvr32.exe        创建文件        C:\Program Files\Thunder Network\Thunder\ComDlls\TDMediaDetector5.9.28.1564.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:28        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建新进程        c:\program files\thunder network\thunder\comdlls\browserhelp\xlnoniesvr.exe        允许        [应用程序]*        命令行: "C:\Program Files\Thunder Network\Thunder\ComDlls\BrowserHelp\XLNonIESvr.exe" -r maxthon -silent
2015-3-3 02:32:29        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建新进程        c:\program files\thunder network\thunder\comdlls\browserhelp\ed2kprocess.exe        允许        [应用程序]*        命令行: "C:\Program Files\Thunder Network\Thunder\ComDlls\BrowserHelp\ed2kProcess.exe" -reg
2015-3-3 02:32:30        c:\program files\thunder network\thunder\comdlls\browserhelp\ed2kprocess.exe        修改注册表值        HKEY_CURRENT_USER\Software\Classes\ed2k\shell\open\command        允许        [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Classes\*\command        值: "C:\Program Files\Thunder Network\Thunder\ComDlls\BrowserHelp\ed2kProcess.exe" "%1"
2015-3-3 02:32:30        c:\program files\thunder network\thunder\comdlls\browserhelp\ed2kprocess.exe        修改注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ed2k\shell\open\command        允许        [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\*\command        值: "C:\Program Files\Thunder Network\Thunder\ComDlls\BrowserHelp\ed2kProcess.exe" "%1"
2015-3-3 02:32:30        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建新进程        c:\program files\thunder network\thunder\program\thunderfw.exe        允许        [应用程序]*        命令行: "C:\Program Files\Thunder Network\Thunder\Program\ThunderFW.exe"  Thunder5.9.28.1564  "C:\Program Files\Thunder Network\Thunder\Program\Thunder.exe"
2015-3-3 02:32:31        c:\windows\explorer.exe        创建新进程        c:\windows\system32\verclsid.exe        允许        [应用程序]*        命令行: /S /C {2559A1F4-21D7-11D4-BDAF-00C04F60B9F0} /I {000214E6-0000-0000-C000-000000000046} /X 0x401
2015-3-3 02:32:34        c:\documents and settings\administrator\local settings\temp\is-8tcd9.tmp\thunderv5.9.28.1564_by_suda.tmp        创建新进程        c:\program files\thunder network\thunder\program\thunder.exe        允许        [应用程序]*        命令行: "C:\Program Files\Thunder Network\Thunder\Program\Thunder.exe"
2015-3-3 02:32:36        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 1037] ->  [127.0.0.1 : 1037]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:37        c:\windows\system32\svchost.exe        从其他进程复制句柄        c:\program files\thunder network\thunder\program\thunder.exe        允许        [应用程序]c:\windows\system32\svchost.exe        句柄: (File) \Device\Afd\Endpoint
2015-3-3 02:32:37        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        TCP [本机 : 1038] ->  [112.90.17.46 : 9936]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:38        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        TCP [本机 : 1039] ->  [122.72.30.2 : 80 (http)]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:38        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 1040] ->  [8.8.8.8 : 53 (domain)]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:40        c:\program files\thunder network\thunder\program\thunder.exe        向其他进程发送消息        c:\windows\system32\csrss.exe        允许        [应用程序]*        消息: WM_SIZE
2015-3-3 02:32:40        c:\program files\thunder network\thunder\program\thunder.exe        修改文件        C:\Program Files\Thunder Network\Thunder\ComDlls\ThunderAgent5.9.28.1564.dll        允许        [文件组]所有执行文件 -> [文件]*; *.dll       
2015-3-3 02:32:40        c:\program files\thunder network\thunder\program\thunder.exe        删除注册表项        HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{485463B7-8FB2-4B3B-B29B-8B919B0EACCE}\InprocServer32        允许        [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\*\InProcServer32       
2015-3-3 02:32:41        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 13795] ->  [119.189.1.17 : 8000]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:42        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 13795] ->  [119.188.108.61 : 8000]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:42        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 13795] ->  [163.177.79.156 : 8000]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:42        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 1045] ->  [119.188.108.56 : 8000]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:43        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 1048] ->  [10.0.2.2 : 1900]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:43        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        TCP [本机 : 1050] ->  [111.161.125.190 : 7000]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:44        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 1048] ->  [239.255.255.250 : 1900]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:46        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        TCP [本机 : 1059] ->  [122.143.1.192 : 8080]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:46        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        TCP [本机 : 1060] ->  [122.143.1.192 : 21 (ftp)]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:46        c:\windows\system32\svchost.exe        访问网络        UDP [本机 : 1061] ->  [122.143.1.192 : 0]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:47        c:\windows\system32\alg.exe        访问网络        TCP [本机 : 1062] ->  [122.143.1.192 : 21 (ftp)]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:48        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 13795] ->  [119.189.1.17 : 8002]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:48        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 13795] ->  [119.189.1.136 : 8000]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:49        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 13795] ->  [119.189.1.136 : 8002]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:49        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        UDP [本机 : 13795] ->  [58.254.134.201 : 8000]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:49        c:\program files\thunder network\thunder\program\thunder.exe        访问网络        TCP [本机 : 1064] ->  [111.161.24.201 : 9527]        允许        [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]       
2015-3-3 02:32:51        c:\program files\thunder network\thunder\program\thunder.exe        修改注册表值        HKEY_CURRENT_USER\Software\Classes\Xunlei.Bittorrent.5\Shell\Open\command        允许        [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Classes\*\command        值: C:\Program Files\Thunder Network\Thunder\Program\Thunder.exe /DDE
[/mw_shl_code]

lolor

请帮忙看一下是不是木马文件，如果是怎么清除？先谢谢各位啦！

浅暮、浅离

卡巴MISS，上报！！！

import

星星直接把安装包杀了，哈勃评分45有高度风险，先卸了然后全盘扫一下再用清理软件清理下吧。