给个可疑的，也不知道是不是！

cbeiyiwang

hxxp://www.henannews.com.cn/newcnsnews/8/2008-01-04/news-8-63473.shtml


fs群里的同学给的，，fs中了标，，，只有手动扫才出来！

qigang

1) http://www.henannews.com.cn/newc ... /news-8-63473.shtml : 未知网页
2) http://www.henannews.com.cn/sortinclude/2007-9-13/style.css : 未知网页
3) http://125.46.36.171:803//data/click.php?show=hide&id=63473 : 未知网页
4) http://www.henannews.com.cn/sortinclude/2007-9-13/index/news1.htm : 未知网页
5) http://www.henannews.com.cn/sortinclude/2007-9-13/index/news.htm : 未知网页

危险的链接：0
安全的链接：0
失效的链接：5
页面总数量：5

cbeiyiwang

请楼上的解释下，，，偶系菜鸟

我是用fs扫描出来的，，不知道这个网站是怎么回事，，fs报了！

[ 本帖最后由 cbeiyiwang 于 2008-1-4 21:05 编辑 ]

zwl2828

原帖由 cbeiyiwang 于 2008-1-4 20:35 发表
hxxp://www.henannews.com.cn/newcnsnews/8/2008-01-04/news-8-63473.shtml


fs群里的同学给的，，fs中了标，，，只有手动扫才出来！

这个网站被挂马了，具体信息在这里（ESET Smart Security）
2008/1/4 21:16:59 HTTP filter file hxxp://count24.51yes.biz/wm/xjz2007.bmp a variant of Win32/TrojanDownloader.Ani.Gen trojan

冷冷

3嗰

斯太尔

小A杀掉

a256886572008

2008-01-05 08:45:42    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\down.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2008-01-05 08:45:45    建立檔案      操作:允許
程序路徑:D:\down.exe
檔案路徑:C:\WINDOWS\system32\TxoMoU.Exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-05 08:45:47    執行應用程序      操作:允許
程序路徑:D:\down.exe
檔案路徑:C:\WINDOWS\system32\TxoMoU.Exe
觸發規則:所有程序規則->*

2008-01-05 08:45:56    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\WINDOWS\system32\REG.exe
指令列:ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /V crsss /T REG_SZ /D C:\WINDOWS\system32\TxoMoU.Exe /F
觸發規則:所有程序規則->系統程式_黑名單->*\reg.exe


2008-01-05 08:45:58    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\WINDOWS\system32\REG.exe
指令列:add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate /v DisableWindowsUpdateAccess /t REG_dword /d 00000001 /f
觸發規則:所有程序規則->系統程式_黑名單->*\reg.exe


2008-01-05 08:45:59    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\WINDOWS\system32\REG.exe
指令列:add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_dword /d 00000001 /f
觸發規則:所有程序規則->系統程式_黑名單->*\reg.exe


2008-01-05 08:46:02    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\WINDOWS\system32\reg.exe
指令列:add "HKCU\Software\Microsoft\Windows\CurrentVersion\EXPlorer\Advanced" /v Hidden /t reg_dWord /d 00000000 /f
觸發規則:所有程序規則->系統程式_黑名單->*\reg.exe


2008-01-05 08:46:04    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\WINDOWS\system32\reg.exe
指令列:add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v HideFileExt /t reg_dword /d 00000001 /f
觸發規則:所有程序規則->系統程式_黑名單->*\reg.exe


2008-01-05 08:46:06    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\WINDOWS\system32\reg.exe
指令列:add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t reg_dword /d 00000000 /f
觸發規則:所有程序規則->系統程式_黑名單->*\reg.exe


2008-01-05 08:46:09    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\WINDOWS\system32\reg.exe
指令列:add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v CheckedValue /t REG_SZ /d 0 /f
觸發規則:所有程序規則->系統程式_黑名單->*\reg.exe


2008-01-05 08:46:10    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\WINDOWS\system32\reg.exe
指令列:add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN" /v CheckedValue /t REG_dword /d 00000002 /f
觸發規則:所有程序規則->系統程式_黑名單->*\reg.exe

2008-01-05 08:46:13    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\Program Files\Internet Explorer\IEXPLORE.EXE
指令列:                                             
觸發規則:所有程序規則->系統程式_白名單->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE



2008-01-05 08:46:16    修改系統時間      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe

觸發規則:所有程序規則->*


2008-01-05 08:46:58    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\WINDOWS\system32\Autorun.Inf
觸發規則:所有程序規則->全域設定_普通模式->*


2008-01-05 08:47:08    修改檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\Program Files\Common Files\Microsoft Shared\OFFICE12\1028\ODINFO.HTM
觸發規則:所有程序規則->全域設定_普通模式->*

開始感染 .htm 文件

2008-01-05 08:47:13    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\soS.Exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-05 08:48:04    建立檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:C:\Autorun.Inf
觸發規則:所有程序規則->白名單與黑名單->?:\autorun.inf

2008-01-05 08:48:08    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:D:\soS.Exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-05 08:48:04    建立檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\TxoMoU.Exe
檔案路徑:D:\AuToRUN.Inf
觸發規則:所有程序規則->白名單與黑名單->?:\autorun.inf

開始 U盤病毒行為

2008-01-05 08:46:39    建立檔案      操作:允許
程序路徑:D:\2008-01-05 08:48:08    刪除檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:D:\down.bat
觸發規則:所有程序規則->全域設定_普通模式->*

2008-01-05 08:47:11    執行應用程序      操作:允許
程序路徑:D:\down.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c D:\down.bat
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2008-01-05 08:48:02    執行應用程序      操作:允許
程序路徑:D:\down.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c ""D:\down.bat""
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2008-01-05 08:48:04    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:D:\down.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-05 08:48:08    刪除檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:D:\down.bat
觸發規則:所有程序規則->全域設定_普通模式->*

經查詢，此 IP 在大陸的 蘇州市

[ 本帖最后由 a256886572008 于 2008-1-5 09:02 编辑 ]

geeinside

Bitdefender,小红伞都查到了4个毒
AVG查到了一个木马程序

qigang

11/4

瑞星病毒查杀结果报告

清除病毒种类列表：

病毒： Malicious Code           
病毒： Hack.SuspiciousAni      

MAC 地址：00:11:5B:F3:6D:69

用户来源：互联网

软件版本：20.25.50

七少

detected: virus Worm.Win32.AutoRun.blz        URL: http://bbs.kafan.cn/attachment.p ... r.com//UPX//PEPatch