卡巴报宙斯，微软报注入，其他家有报蠕虫，重点是十八个小时前BitDefender系不报

驭龙

十八个小时前，BitDefender全系不报，不知道现在有没有入库，Kaspersky报宙斯@aboringman


样本密码：infected

sanhu35

沙盘规则一跑  一看就知道不是好东西。

释放完就开始自删除了，后面的注入就不想测了

2015-11-14 20:42:11    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\cports1.exe
命令行: "C:\Documents and Settings\Administrator\桌面\cports1.exe"
规则: [应用程序]*

2015-11-14 20:42:12    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: D:
规则: [文件组]隐藏磁盘 -> [文件]d:\*

2015-11-14 20:42:12    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: D:\My Documents
规则: [文件组]隐藏磁盘 -> [文件]d:\*

2015-11-14 20:42:14    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: c:\documents and settings\administrator\桌面\cports1.exe
命令行: "C:\Documents and Settings\Administrator\桌面\cports1.exe" /AutoIt3ExecuteScript C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\lol.bin
规则: [应用程序]*

2015-11-14 20:42:15    创建文件夹    阻止
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: C:\Documents and Settings\Administrator\Application Data\AyMIpGJ
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-14 20:42:15    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
值: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
规则: [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*; Startup

2015-11-14 20:42:15    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\Windows.lnk
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-14 20:42:15    创建文件夹    阻止
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: C:\Documents and Settings\Administrator\Application Data\LCjRgQ
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-14 20:42:15    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\Windows.lnk
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-14 20:42:18    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: c:\documents and settings\administrator\桌面\cports1.exe
命令行: "C:\Documents and Settings\Administrator\桌面\cports1.exe"
规则: [应用程序]*

2015-11-14 20:42:19    创建文件夹    阻止
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: C:\Documents and Settings\Administrator\Application Data\Ofap
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-14 20:42:19    创建新进程    阻止
进程: c:\documents and settings\administrator\桌面\cports1.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpa58d85b2.bat"
规则: [应用程序]* -> [子应用程序]『禁运』黑名单

请叫我德玛西亚

恶意程序“TR/Drop.appi.A [trojan]”。
执行的操作：拒绝访问

QQ1014530747

BD还没入库

QQ1014530747

Lavasoft Ad-Aware
2015年11月14日
未发现问题
Agnitum
2015年11月13日
未发现问题
Arcabit AntiVirus
2015年11月14日
未发现问题
Avast! Antivirus
2015年11月13日
Win32:Malware-gen
AVG
2015年11月14日
Dropper.Generic_c.ARKY
Avira AntiVir
2015年11月13日
TR/Drop.appi.A
BitDefender Antivirus
2015年11月14日
未发现问题
ClamAV
2015年11月13日
Win.Trojan.10279488
Dr. Web
2015年11月14日
Trojan.MulDrop6.13396
MicroWorld eScan
2015年11月14日
未发现问题
ESET
2015年11月13日
Win32/Injector.Autoit.BXX
Fortinet
2015年11月13日
未发现问题
F-PROT Antivirus
2015年11月14日
未发现问题
F-Secure Anti-Virus
2015年11月14日
未发现问题
G DATA
2015年11月14日
未发现问题
Ikarus
2015年11月13日
Trojan.Win32.Injector
Kaspersky Anti-Virus
2015年11月13日
Trojan-Spy.Win32.Zbot.wdrf
Quick Heal
2015年11月9日
TrojanPWS.AutoIt.Zbot.S
Sophos
2015年11月14日
Mal/Generic-S
Trend Micro Antivirus
2015年11月13日
未发现问题
VBA32
2015年11月13日
Trojan.Autoit.F

fuzhk

BD略坑啊，还不报，有BD系的BD报了吗？

哈勃-高风险
B超
火眼：新毒霸已拉黑

毛豆新人

CIS

Worm.Win32.P2P-Worm.Palevo.fghk@295738003

EnZhSTReLniKoVa

fuzhk 发表于 2015-11-14 12:41
BD略坑啊，还不报，有BD系的BD报了吗？

哈勃-高风险

双击 你就知道 BD  有没有动作了

fuzhk

君陌潇 发表于 2015-11-14 12:47
双击 你就知道 BD  有没有动作了

好了BD ATC 没问题

wjy19800315

avira杀

aboringman

@驭龙 我来吃菜了，话说这已经过了正午了

照例三件套（扫描+主防+清毒）

KTS：

扫描：


主防：


我跟注入型的病毒可是打过多次交道的

清毒：样本衍生物重启后消失，无可疑行为，现正在进行全扫，确认有无残余......