a卡巴20080105查不到

cwbok

a

leonfg

ESET
C:\Documents and Settings\GUNDAM\桌面\auto.rar » RAR » auto.exe - a variant of Win32/TrojanDownloader.Flux trojan

啊弥陀佛

微点砍掉

红心王子

2008-1-5        10:17:51        1199499471        SYSTEM        1196        Sign of "Win32:AutoRun-IC" has been found in "http://bbs.kafan.cn/attachment.php?aid=179096\auto.exe\[Upack]\[Embedded#06010]" file.

无尽藏海

Begin scan in 'D:\Downloads\样本\auto(2).rar'
D:\Downloads\样本\auto(2).rar
  [0] Archive type: RAR
  --> auto.exe
      [DETECTION] Contains suspicious code HEUR/Malware

28654621

\auto.rar>>auto.exe        Backdoor.DKA.cfeg        后门        还未处理

saber123

AVG Anti-Spyware - Scan Report
---------------------------------------------------------
+ Created at: 10:42:19 2008-1-5
+ Scan result:

Nothing found.

::Report end

a256886572008

2008-01-05 10:23:02    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\auto.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2008-01-05 10:23:06    結束/建立程序      操作:封鎖
程序路徑:D:\auto.exe
目標程序:C:\WINDOWS\Explorer.EXE
觸發規則:所有程序規則->*


2008-01-05 10:23:07    執行應用程序      操作:允許
程序路徑:D:\auto.exe
檔案路徑:C:\WINDOWS\explorer.exe
指令列:D:\
觸發規則:所有程序規則->系統程式_白名單->%windir%\explorer.exe


2008-01-05 10:23:15    結束/建立程序      操作:封鎖
程序路徑:D:\auto.exe
目標程序:C:\Program Files\PC Tools Firewall Plus\FirewallGUI.exe
觸發規則:所有程序規則->*


2008-01-05 10:23:22    結束/建立程序      操作:封鎖
程序路徑:D:\auto.exe
目標程序:C:\Program Files\Sandboxie\SbieCtrl.exe
觸發規則:所有程序規則->*

2008-01-05 10:23:19    建立檔案      操作:允許
程序路徑:D:\auto.exe
檔案路徑:C:\WINDOWS\SYSTEM32\790789E0.EXE
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-05 10:23:28    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\7DFAD632
登錄檔名稱:[Key]
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-05 10:23:31    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:C:\WINDOWS\system32\790789E0.EXE -k
觸發規則:所有程序規則->*


2008-01-05 10:23:32    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\7DFAD632
登錄檔名稱:ImagePath
登錄檔數值:C:\WINDOWS\system32\790789E0.EXE -k
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-05 10:23:36    安裝服務或驅動      操作:允許
程序路徑:D:\auto.exe
檔案路徑:C:\WINDOWS\system32\790789E0.EXE -k
觸發規則:所有程序規則->*

2008-01-05 10:23:43    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:C:\WINDOWS\system32\790789E0.EXE
指令列:-k
觸發規則:所有程序規則->*


2008-01-05 10:23:46    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\790789E0.EXE
檔案路徑:C:\WINDOWS\system32\8864932C.DLL
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2008-01-05 10:25:16    修改其它程序記憶體      操作:允許
程序路徑:C:\WINDOWS\system32\790789E0.EXE
目標程序:C:\WINDOWS\system32\winlogon.exe
觸發規則:所有程序規則->*


2008-01-05 10:25:17    建立遠端執行緒      操作:允許
程序路徑:C:\WINDOWS\system32\790789E0.EXE
目標程序:C:\WINDOWS\system32\winlogon.exe
觸發規則:所有程序規則->*


2008-01-05 10:25:20    修改系統時間      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe

觸發規則:所有程序規則->*

2008-01-05 10:25:27    修改登錄檔內容      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
登錄檔名稱:CheckedValue
觸發規則:所有程序規則->檔案總管->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2008-01-05 10:25:30    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\system32\winlogon.exe
檔案路徑:C:\WINDOWS\system32\790789E0.EXE -k
觸發規則:所有程序規則->*

2008-01-05 10:25:24    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\System32\smss.exe
觸發規則:所有程序規則->*

2008-01-05 10:25:33    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\system32\csrss.exe
觸發規則:所有程序規則->*

2008-01-05 10:25:41    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\system32\services.exe
觸發規則:所有程序規則->*

2008-01-05 10:25:46    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\system32\lsass.exe
觸發規則:所有程序規則->*

2008-01-05 10:25:54    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\system32\svchost.exe
觸發規則:所有程序規則->*

2008-01-05 10:26:00    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\Program Files\PC Tools Firewall Plus\FWService.exe
觸發規則:所有程序規則->*

2008-01-05 10:26:06    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\Program Files\Sandboxie\SbieSvc.exe
觸發規則:所有程序規則->*

2008-01-05 10:26:11    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\Program Files\UPHClean\uphclean.exe
觸發規則:所有程序規則->*


2008-01-05 10:26:14    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\System32\alg.exe
觸發規則:所有程序規則->*

2008-01-05 10:27:46    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\Program Files\Returnil\Rvsystem.exe
觸發規則:所有程序規則->*


2008-01-05 10:27:46    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\Program Files\PC Tools Firewall Plus\FirewallGUI.exe
觸發規則:所有程序規則->*


2008-01-05 10:27:46    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\system32\ctfmon.exe
觸發規則:所有程序規則->*


2008-01-05 10:27:46    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\Program Files\Sandboxie\SbieCtrl.exe
觸發規則:所有程序規則->*


2008-01-05 10:27:46    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\system32\conime.exe
觸發規則:所有程序規則->*

2008-01-05 10:27:59    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\Program Files\YourWare Solutions\FreeRAM XP Pro\FreeRAM XP Pro.exe
觸發規則:所有程序規則->*

2008-01-05 10:27:59    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\Program Files\Opera\Opera.exe
觸發規則:所有程序規則->*


2008-01-05 10:27:59    修改其它程序記憶體      操作:封鎖
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\system32\IME\Chewing\ChewingServer.exe
觸發規則:所有程序規則->*

2008-01-05 10:25:35    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\winlogon.exe
檔案路徑:C:\auto.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-05 10:25:43    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\winlogon.exe
檔案路徑:C:\autorun.inf
觸發規則:所有程序規則->白名單與黑名單->?:\autorun.inf

2008-01-05 10:25:57    修改檔案      操作:允許
程序路徑:C:\WINDOWS\system32\winlogon.exe
檔案路徑:D:\auto.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-05 10:26:03    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\winlogon.exe
檔案路徑:D:\autorun.inf
觸發規則:所有程序規則->白名單與黑名單->?:\autorun.inf

2008-01-05 10:27:11    修改其它程序記憶體      操作:允許
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\Explorer.EXE
觸發規則:所有程序規則->系統程式_白名單->%windir%\explorer.exe

2008-01-05 10:27:17    建立遠端執行緒      操作:允許
程序路徑:C:\WINDOWS\system32\winlogon.exe
目標程序:C:\WINDOWS\Explorer.EXE
觸發規則:所有程序規則->系統程式_白名單->%windir%\explorer.exe

2008-01-05 10:27:59    建立檔案      操作:封鎖
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:C:\WINDOWS\system32\llk1199500037.h
觸發規則:所有程序規則->全域設定_普通模式->*

Explorer.EXE 開始下載一堆東西

wangjay1980

Hello,

auto.exe_ - Worm.Win32.AutoRun.bmb

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Please quote all when answering.

--
Best regards, Kirill Erakhtin
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/

http://www.kaspersky.com/virusscanner - free online virus scanner.
http://www.kaspersky.com/helpdesk.html - technical support.

wangjay1980

detected: Trojan program Trojan-PSW.Win32.OnLineGames.mvv        URL: http://bbs.kafan.cn/attachment.p ... 95002004.exe//UPack