[病毒样本] 1

显示全部楼层 · 发表于 2008-1-6 01:49:22

verclsid.exe
[EXECUTE]                            2008.01.06 01:48:57
[ALLOW]                               C:\WINDOWS\system32\verclsid.exe
                                    Command Line:/S /C {2559A1F4-21D7-11D4-BDAF-00C04F60B9F0} /I {000214E6-0000-0000-C000-000000000046} /X 0x401
[FROM]                               C:\WINDOWS\Explorer.EXE
                                    Command Line:C:\WINDOWS\Explorer.EXE

verclsid.exe
[EXECUTE]                            2008.01.06 01:48:58
[ALLOW]                               C:\WINDOWS\system32\verclsid.exe
                                    Command Line:/S /C {2559A1F5-21D7-11D4-BDAF-00C04F60B9F0} /I {000214E6-0000-0000-C000-000000000046} /X 0x401
[FROM]                               C:\WINDOWS\Explorer.EXE
                                    Command Line:C:\WINDOWS\Explorer.EXE

ridiap080104.exe
[EXECUTE]                            2008.01.06 01:49:08
[ALLOW]                               G:\1\ridiap080104.exe
                                    Command Line:"G:\1\ridiap080104.exe"
[FROM]                               C:\WINDOWS\Explorer.EXE
                                    Command Line:C:\WINDOWS\Explorer.EXE

ridiap080104.exe
[CREATE FILE]                         2008.01.06 01:49:12
[BLOCK]                               G:\1\ridiap080104.exe
                                    Command Line:"G:\1\ridiap080104.exe"
[ACCESS TO]                            Folder: C:\WINDOWS\
                                    File: ie.ini

ridiap080104.exe
[CREATE FILE]                         2008.01.06 01:49:13
[BLOCK]                               G:\1\ridiap080104.exe
                                    Command Line:"G:\1\ridiap080104.exe"
[ACCESS TO]                            Folder: C:\WINDOWS\system32\
                                    File: ridiap080104.exe

ridiap080104.exe
[CREATE FILE]                         2008.01.06 01:49:15
[BLOCK]                               G:\1\ridiap080104.exe
                                    Command Line:"G:\1\ridiap080104.exe"
[ACCESS TO]                            Folder: C:\WINDOWS\system32\
                                    File: ridiap080104.exe

GtCC.exe
[EXECUTE]                            2008.01.06 01:49:15
[ALLOW]                               C:\Program Files\Microsoft Windows OneCare Live\GtCC.exe
                                    Command Line:"C:\Program Files\Microsoft Windows OneCare Live\GtCC.exe" -s "upsell" -f ""
[FROM]                               C:\Program Files\Microsoft Windows OneCare Live\winss.exe
                                    Command Line:"C:\Program Files\Microsoft Windows OneCare Live\winss.exe"

OcBrowse.exe
[EXECUTE]                            2008.01.06 01:49:17
[ALLOW]                               C:\Program Files\Microsoft Windows OneCare Live\GtOneCare\OcBrowse.exe
                                    Command Line:"C:\Program Files\Microsoft Windows OneCare Live\GtOneCare\OcBrowse.exe" "%currentappdir%/HTML/Upsell/html/index.htm?uniquename=OneCareUpsell&url=http://origin.onecare.live.com/Channels/Upsell/Content/en-us&items=1099&daysleft=90&style=1&width=531&left=246&top=522"
[FROM]                               C:\Program Files\Microsoft Windows OneCare Live\winssnotify.exe
                                    Command Line:"C:\Program Files\Microsoft Windows OneCare Live\winssnotify.exe"

显示全部楼层 · 发表于 2008-1-6 07:34:32

正在扫描日志
病毒库版本: 2766 (20080104)
日期: 2008/1/6 时间: 7:33:27
已扫描的磁盘、文件夹和文件: C:\Users\Wesley\Downloads\1.rar
C:\Users\Wesley\Downloads\1.rar ?RAR ?1\ridiap080104.exe - 可能是 Win32/Genetik 特洛伊木马的变种
已扫描的对象数: 2
发现的威胁数: 1
完成时间: 7:33:29 总扫描时间: 2 秒 (00:00:02)

显示全部楼层 · 发表于 2008-1-6 08:21:22

2008-01-06 08:08:44 執行應用程序    操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\ridiap080104.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*

2008-01-06 08:08:47 建立檔案    操作:允許
程序路徑:D:\ridiap080104.exe
檔案路徑:C:\WINDOWS\ie.ini
觸發規則:所有程序規則->全域設定_普通模式->*

2008-01-06 08:08:48 建立檔案    操作:允許
程序路徑:D:\ridiap080104.exe
檔案路徑:C:\WINDOWS\system32\ridiap080104.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-06 08:08:55 建立檔案    操作:允許
程序路徑:D:\ridiap080104.exe
檔案路徑:C:\WINDOWS\system32\mcdsrv32_080104.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2008-01-06 08:08:57 建立檔案    操作:允許
程序路徑:D:\ridiap080104.exe
檔案路徑:C:\WINDOWS\system32\mcdsrv16_080104.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2008-01-06 08:09:05 建立登錄檔值    操作:封鎖
程序路徑:D:\ridiap080104.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
登錄檔名稱:zsms
登錄檔數值:rundll32.exe C:\WINDOWS\system32\mcdsrv16_080104.dll start
觸發規則:所有程序規則->其他重要項->*\Software\Microsoft\Windows\Currentversion\Policies*

2008-01-06 08:10:03 建立檔案    操作:允許
程序路徑:D:\ridiap080104.exe
檔案路徑:C:\Delm.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->%SystemDrive%\*.bat

2008-01-06 08:10:06 執行應用程序    操作:允許
程序路徑:D:\ridiap080104.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c ""c:\Delm.bat" "
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2008-01-06 08:10:12 刪除檔案    操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:D:\ridiap080104.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-06 08:10:24 刪除檔案    操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\Delm.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->%SystemDrive%\*.bat

2008-01-06 08:09:09 執行應用程序    操作:允許
程序路徑:D:\ridiap080104.exe
檔案路徑:C:\WINDOWS\system32\rundll32.exe
指令列:C:\WINDOWS\system32\mcdsrv16_080104.dll start
觸發規則:所有程序規則->*

2008-01-06 08:10:00 建立檔案    操作:允許
程序路徑:C:\WINDOWS\system32\rundll32.exe
檔案路徑:C:\zsmstccj.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->%SystemDrive%\*.bat

2008-01-06 08:10:04 執行應用程序    操作:允許
程序路徑:C:\WINDOWS\system32\rundll32.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c ""c:\zsmstccj.bat" "
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2008-01-06 08:10:10 執行應用程序    操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\WINDOWS\system32\ridiap080104.exe
指令列:i
觸發規則:所有程序規則->*

2008-01-06 08:10:18 執行應用程序    操作:封鎖
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\WINDOWS\system32\ping.exe
指令列:127.0.0.1
觸發規則:所有程序規則->*

2008-01-06 08:11:33 刪除檔案    操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\zsmstccj.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->%SystemDrive%\*.bat

2008-01-06 08:10:22 建立登錄檔值    操作:封鎖
程序路徑:C:\WINDOWS\system32\ridiap080104.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
登錄檔名稱:zsms
登錄檔數值:rundll32.exe C:\WINDOWS\system32\mcdsrv16_080104.dll start
觸發規則:所有程序規則->其他重要項->*\Software\Microsoft\Windows\Currentversion\Policies*

2008-01-06 08:10:30 刪除檔案    操作:允許
程序路徑:C:\WINDOWS\system32\ridiap080104.exe
檔案路徑:C:\WINDOWS\system32\mcdsrv32_080104.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2008-01-06 08:10:34 建立檔案    操作:允許
程序路徑:C:\WINDOWS\system32\ridiap080104.exe
檔案路徑:C:\WINDOWS\system32\mcdsrv32_080104.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2008-01-06 08:10:42 執行應用程序    操作:允許
程序路徑:C:\WINDOWS\system32\ridiap080104.exe
檔案路徑:C:\program files\internet explorer\iexplore.exe
觸發規則:所有程序規則->系統程式_白名單->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE

2008-01-06 08:10:48 修改其它程序記憶體    操作:允許
程序路徑:C:\WINDOWS\system32\ridiap080104.exe
目標程序:C:\program files\internet explorer\iexplore.exe
觸發規則:所有程序規則->*

2008-01-06 08:10:49 建立遠端執行緒    操作:允許
程序路徑:C:\WINDOWS\system32\ridiap080104.exe
目標程序:C:\program files\internet explorer\iexplore.exe
觸發規則:所有程序規則->*

2008-01-06 08:10:57 建立檔案    操作:允許
程序路徑:C:\program files\internet explorer\iexplore.exe
檔案路徑:C:\Documents and Settings\All Users\「開始」功能表\程式集\啟動\word.lnk
觸發規則:所有程序規則->全域設定_可執行檔案2_普通模式->*.lnk

經查詢，此 IP 在大陸的合肥市

显示全部楼层 · 发表于 2008-1-6 11:27:26

rs pass

显示全部楼层 · 发表于 2008-1-6 18:59:18

Trojan-Spy.Win32.Agent.axp

显示全部楼层 · 发表于 2008-1-6 21:32:47

微点报

显示全部楼层 · 发表于 2008-1-7 10:29:34

微点砍掉

显示全部楼层 · 发表于 2008-1-7 12:32:22

微点和小红伞同样干掉

[病毒样本] 1

本帖子中包含更多资源

NOD32

本帖子中包含更多资源