一客户貌似中的是极虎病毒，送给大家两个被感染的文件

心醉咖啡

管家 kill all

sanhu35

感染DLL   截取部分



2015-11-17 20:16:31    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: C:\DelInfo.bin
规则: [文件组]只读磁盘 -> [文件]c:\*


2015-11-17 20:13:49    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\2\brccboot.exe
目标: c:\documents and settings\administrator\local settings\temp\reinstall.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ReInstall.exe"
规则: [应用程序]*


2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\MsPMSNSv.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\pchsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\MsPMSNSv.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\ntmssvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\upnphost.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\pchsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*


2015-11-17 20:13:49    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\2\brccboot.exe
目标: c:\documents and settings\administrator\local settings\temp\reinstall.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ReInstall.exe"
规则: [应用程序]*

2015-11-17 20:13:49    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\DelInfo.bin
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]只读磁盘 -> [文件]c:\*


2015-11-17 20:13:49    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\pchsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\MsPMSNSv.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [文件组]只读磁盘 -> [文件]c:\*



2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\ntmssvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\upnphost.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\pchsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2015-11-17 20:13:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\reinstall.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]只读磁盘 -> [文件]c:\*



操作进程：C:\Documents and Settings\Administrator\Local Settings\Temp\ReInstall.exe
风险动作：注册服务或驱动
目标：%SystemRoot%\System32\svchost.exe -k netsvcs
用户操作：已阻止


2个是一样的，setup.exe藏在假回收站里面




不断的创建服务。 指向被感染的DLL

aboringman

NS：kill all files

BrCcBoot.exe：

W32.Fujacks.CE!inf

Setup.exe（回收站里）：

Downloader

XywCloud

BAV本地库1个，云1个

ELOHIM

sandysnhjs 发表于 2015-11-17 19:24
SCEP 杀

棒棒的！~

cwl12315

NIS报的Fujacks，这名字好像熊猫烧香

sunnyjianna

2015/11/17 23:45:37        HTTP 过滤器        文件        https://att.kafan.cn/forum.php?mo ... Dg4OTM0NHwxODY0NDI1        多个威胁        连接中断 - 已隔离        DESKTOP-HM30J0B\Nelumbonucifera        通过应用程序访问 web 时检测到威胁: C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\MicrosoftEdgeCP.exe.

蓝泽祈

诺顿压力好大

文件名: BrCcBoot.exe
完整路径: C:\Users\songm\Desktop\2\BrCcBoot.exe

____________________________

____________________________


开发人员 
不可用

版本 
4.0.22.4

已识别 
2015/11/18/星期三 ( 18:34:25 )

上次使用时间 
不可用

启动项 
否


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

良好
诺顿为此文件指定的分级为一般。


____________________________


源文件:
winrar-x64-521sc.exe

创建的文件:
winrar.exe

创建的文件:
brccboot.exe

____________________________


文件指纹 - SHA:
31b1c025ff39408711bdccfd50ce56d5998cc280438cfef0b49a01e91d27d4e1
文件指纹 - MD5:
6b77b1e02278ce9d4ecbd6be27f39273