Microsoft .com病毒

lovekaba

很强大,名字都用上微软的了,很有欺骗性.

colordancer

趋势：

InterScan Web Security detected malicious code in your web traffic:

Item: http://www.kafan.cn/bbs/attachment.php?aid=184401
Action: deleted

Infection detail:

-- File: Microsoft.com, Enclosure: Microsoft .com�����ù��.rar, malicious code name: WORM_NSPACK.AG
The file is deleted.

傻猪猪米走鸡

一个小小的com搞出那么大问题

斯太尔

* avast! 报告
* 这个文件自动被产生
*
* 任务 '简易用户界面' 被使用
* 开始于 2008年1月15日 19:45:28
* VPS: 080114-3, 2008-01-14
*

C:\Documents and Settings\David\桌面\新建文件夹\Microsoft [1].com病毒样本.rar\Microsoft.com\[NsPack] [L] Win32:AutoRun-FI (0)
已感染文件: 1
总共文件: 3
总共文件夹: 1
总共大小: 155.9 KB

*
* 任务被停止: 2008年1月15日 19:45:34
* 运作时间是 6 秒
*

qigang

瑞星病毒查杀结果报告

清除病毒种类列表：

病毒： Worm.Win32.AvKiller.ck   

MAC 地址：00:11:5B:F3:6D:69

用户来源：互联网

软件版本：20.27.12

悠柚

Access to the data has been denied!
Warning: A virus or unwanted program has been found in the HTTP Data.

Requested URL:         bbs.kafan.cn/attachment.php?aid=184401
Information:         Is the Trojan horse TR/Crypt.NSPI.Gen

Generated by AntiVir WebGuard 7.01.00.13, AVE 7.6.0.46, VDF 7.0.1.239

牛啊

BING126

McAfee         Generic.dx

sam.to

已刪除: 特洛伊木馬程式 Trojan-Downloader.Win32.Losabel.m        檔案: C:\Documents and Settings\kato9096\桌面\Microsoft/Microsoft.com//NSPack

a256886572008

2008-01-15 20:36:29    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\Microsoft.com
觸發規則:所有程序規則->系統程式_黑名單->*.com


2008-01-15 20:36:40    刪除登錄檔      操作:封鎖
程序路徑:D:\Microsoft.com
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:wjlarbn
觸發規則:所有程序規則->自動執行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2008-01-15 20:36:42    刪除登錄檔      操作:封鎖
程序路徑:D:\Microsoft.com
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:oydiexc
觸發規則:所有程序規則->自動執行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2008-01-15 20:36:46    建立檔案      操作:允許
程序路徑:D:\Microsoft.com
檔案路徑:C:\Program Files\Common Files\System\ccavblx.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe


2008-01-15 20:36:48    建立檔案      操作:允許
程序路徑:D:\Microsoft.com
檔案路徑:C:\Program Files\Common Files\Microsoft Shared\rqtcrfo.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

2008-01-15 20:37:28    執行應用程序      操作:允許
程序路徑:D:\Microsoft.com
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c del "D:\Microsoft.com"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2008-01-15 20:39:36    刪除檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:D:\Microsoft.com
觸發規則:所有程序規則->全域設定_可執行檔案1->*.com

首先，測試 ccavblx.exe

2008-01-15 20:36:55    執行應用程序      操作:允許
程序路徑:D:\Microsoft.com
檔案路徑:C:\Program Files\Common Files\System\ccavblx.exe
觸發規則:所有程序規則->*

2008-01-15 20:37:21    建立檔案      操作:允許
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
檔案路徑:C:\Program Files\1.hiv
觸發規則:所有程序規則->白名單與黑名單->%SystemDrive%\*.hiv

2008-01-15 20:37:30    建立檔案      操作:允許
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
檔案路徑:C:\Program Files\2.hiv
觸發規則:所有程序規則->白名單與黑名單->%SystemDrive%\*.hiv

2008-01-15 20:37:45    修改登錄檔內容      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:*
觸發規則:所有程序規則->自動執行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

註冊表轉儲，添加啟動項

2008-01-15 20:39:41    建立登錄檔值      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe
登錄檔名稱:[Key]
觸發規則:所有程序規則->其他重要項->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*

開始 IFEO 映像劫持

2008-01-15 20:41:20    刪除登錄檔      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:AVP
觸發規則:所有程序規則->自動執行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2008-01-15 20:41:22    刪除登錄檔      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:KVMON
觸發規則:所有程序規則->自動執行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

刪除 卡巴 和 江民 的啟動項

2008-01-15 20:41:26    刪除登錄檔      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
登錄檔名稱:[Key]
觸發規則:所有程序規則->系統設定->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*


2008-01-15 20:41:28    刪除登錄檔      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
登錄檔名稱:[Key]
觸發規則:所有程序規則->系統設定->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*

刪除 安全模式 註冊表

2008-01-15 20:41:30    修改登錄檔內容      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
登錄檔名稱:Type
登錄檔數值:radio
觸發規則:所有程序規則->檔案總管->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*


2008-01-15 20:41:33    修改登錄檔內容      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden
登錄檔名稱:Type
登錄檔數值:checkbox2
觸發規則:所有程序規則->檔案總管->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2008-01-15 20:41:37    建立登錄檔值      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
登錄檔名稱:CheckedValue
觸發規則:所有程序規則->檔案總管->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*


2008-01-15 20:41:39    修改登錄檔內容      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
登錄檔名稱:ShowSuperHidden
觸發規則:所有程序規則->檔案總管->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

修改隱藏屬性

2008-01-15 20:41:41    建立登錄檔值      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
登錄檔名稱:NoDriveTypeAutoRun
觸發規則:所有程序規則->其他重要項->*\Software\Microsoft\Windows\Currentversion\Policies*

2008-01-15 20:41:57    執行應用程序      操作:允許
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c echo Y| cacls C:\Program Files\dld.dat /t /g everyone:F
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-15 20:42:03    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/S /D /c" echo Y"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2008-01-15 20:42:09    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\WINDOWS\system32\cacls.exe
指令列:C:\Program Files\dld.dat /t /g everyone:F
觸發規則:所有程序規則->*

2008-01-15 20:42:06    建立登錄檔值      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:wjlarbn
登錄檔數值:C:\Program Files\Common Files\System\ccavblx.exe
觸發規則:所有程序規則->自動執行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2008-01-15 20:42:29    建立登錄檔值      操作:封鎖
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:wjlarbn
登錄檔數值:C:\Program Files\Common Files\System\ccavblx.exe
觸發規則:所有程序規則->自動執行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2008-01-15 20:42:15    建立檔案      操作:允許
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
檔案路徑:C:\Program Files\Common Files\System\wjlarbn.inf
觸發規則:所有程序規則->全域設定_普通模式->*

2008-01-15 20:42:19    建立檔案      操作:允許
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
檔案路徑:C:\oydiexc.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe


2008-01-15 20:42:20    建立檔案      操作:允許
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
檔案路徑:C:\autorun.inf
觸發規則:所有程序規則->白名單與黑名單->?:\autorun.inf


2008-01-15 20:42:21    建立檔案      操作:允許
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
檔案路徑:D:\oydiexc.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe


2008-01-15 20:42:22    建立檔案      操作:允許
程序路徑:C:\Program Files\Common Files\System\ccavblx.exe
檔案路徑:D:\autorun.inf
觸發規則:所有程序規則->白名單與黑名單->?:\autorun.inf

U盤病毒行為