看一个2345的病毒，还是挺奇怪的

planningall

今天打开firefox浏览器，首页莫名其妙的就成了2345的垃圾导航。我就把原来的firefox卸载了。然后到mozilla官网下载了最新的46版本，还是64位版的

安装之后在桌面上生成了一个快捷方式，打开还是2345的导航，我就看了下这个快捷方式的属性："C:\Program Files (x86)\Mozilla Firefox\Mozilla Firefox.exe"

这说明是一个32位的程序啊，装到了x86文件夹，但是我明明装的是x64的，应该装在C:\Program Files\Mozilla Firefox下面，而且这个快捷方式不能修改，各种需要管理员权限。

我就去这个文件夹看了，发现有一个firefox.exe的程序，还有一个Mozilla Firefox.exe的程序，也就是那个桌面快捷方式指向的。

在这个文件夹下，还有个快捷方式，属性是这个："C:\Program Files (x86)\Mozilla Firefox\firefox.exe" http://123.itiankong.net/?700-5351

这些都比较容易理解，其实我就是奇怪，我明明装的是64位版的（官网下载），为什么能装一个32位版的出来，而且在桌面生成了快捷方式。

我又去C:\Program Files\下面找，居然有我正常安装的那个firefox......

附件就是那个奇怪的程序，有没有大神感兴趣分析一下它。

qqddliu

【1】2016-06-03 20:40:15,系统防护,自定义防护,Mozilla Firefox.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\新建文件夹\Mozilla Firefox.exe
触犯规则：●星火●【注册表保护】〖其他相关〗系统默认文件夹路径设置
操作类型：写入
操作注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Startup
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【2】2016-06-03 20:40:14,系统防护,自定义防护,Mozilla Firefox.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\新建文件夹\Mozilla Firefox.exe
触犯规则：●星火●【注册表保护】〖其他相关〗系统启动文件夹路径设置
操作类型：写入
操作注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【3】2016-06-03 20:40:14,系统防护,自定义防护,Mozilla Firefox.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\新建文件夹\Mozilla Firefox.exe
触犯规则：●星火●【注册表保护】极度危险位置
操作类型：写入
操作注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
用户操作：已阻止

Microsoftheihei

ns

planningall

qqddliu 发表于 2016-6-3 20:41
【1】2016-06-03 20:40:15,系统防护,自定义防护,Mozilla Firefox.exe触犯自定义注册表防护规则, 已阻止

...

大神，你用的是什么工具，能把这些都阻止了！

qqddliu

planningall 发表于 2016-6-3 22:29
大神，你用的是什么工具，能把这些都阻止了！

火绒，自定义规则。

connelly

Norton
文件名: mozilla firefox.exe
威胁名称: WS.Reputation.1完整路径: c:\users\marc\downloads\mozilla firefox\mozilla firefox.exe

____________________________

____________________________


在电脑上 
2016/6/7 ( 14:31:26 )

上次使用时间 
2016/6/7 ( 14:33:26 )

启动项 
否

已启动 
否

威胁类型: 智能网络威胁。 很多迹象表明此文件不可信任，不安全

____________________________


mozilla firefox.exe 威胁名称: WS.Reputation.1
定位


少量用户信任的文件
诺顿社区中有 不到 50 名用户使用了此文件。

发布已久的文件
该文件已在 1 年 5 个月 前发行。

中
此文件具有中等程度风险。


____________________________


https://att.kafan.cn/forum.php?mo ... DQ0OTQwM3wyMDQzMzc0
已下载文件 mozilla firefox.exe 威胁名称: WS.Reputation.1
从 att.kafan.cn
来源: 外部介质

mozilla firefox.exe

____________________________

文件操作

文件: c:\users\marc\downloads\mozilla firefox\ mozilla firefox.exe 已删除
____________________________


文件指纹 - SHA:
c29099103884ef808f668a4f2eb3805c334e187169280a1cbb2939618559f3f9
文件指纹 - MD5:
不可用

轩夏

金山

Win32.Troj.Agent.uu.(kcloud)