疑似机器狗穿了sd

sxingbai

孩子用影子sd上网后，我开机后打开eq,提示
2008-03-12 20:15:26    创建注册表值      操作:阻止
进程路径:C:\windows\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\iCafe Manager
注册表名称:[Key]
触发规则:所有程序规则->Drivers / Services（驱动和服务）->HKEY_LOCAL_MACHINE\System\*controlset*\Services\*

感觉异常，想用冰刃看一下，但发现被劫持，关联为ntsd.exe。换wsyscheck，终发现启动文件下的一exe和temp文件夹下一sys，且用autoruns查看，镜像劫持一大堆。

看是否机器狗

wangjay1980

detected: Trojan program Trojan-PSW.Win32.OnLineGames.sea        URL: http://bbs.kafan.cn/attachment.p ... xe//PE_Patch//UPack
detected: Trojan program Trojan-Downloader.Win32.Delf.epw        URL: http://bbs.kafan.cn/attachment.php?aid=218430//dog/usbhcid.sys

spaceplane

[0] Archive type: RAR
  --> dog\AtiSrv.exe
      [DETECTION] Contains detection pattern of the rootkit RKIT/HideProcess.B
  --> dog\usbhcid.sys
      [DETECTION] Is the Trojan horse TR/Dldr.Delf.epw.1
      [WARNING]   The file was ignored!


End of the scan: 2008年3月12日  23:20
Used time: 00:15 min

The scan has been done completely.

      0 Scanning directories
      3 Files were scanned
      2 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:

spaceplane

已扫描的磁盘，文件夹及文件：E:\pic\_PICtemp\dog.rar
E:\pic\_PICtemp\dog.rar >>RAR >>dog\AtiSrv.exe - 可能是 Win32/TrojanDownloader.Agent.NWE 木马 的一个变种
E:\pic\_PICtemp\dog.rar >>RAR >>dog\usbhcid.sys - Win32/TrojanDownloader.Delf.EPW 木马
已扫描的文件数目：2
已发现的病毒数目：2
完成时间： 23:21:03 总扫描时间：2 秒 (00:00:02)

spaceplane

Generic.Malware.P!BdldPk!.DB9AF65B
Trojan.Rootkit.GEZ

spaceplane

dog.rar\dog\AtiSrv.exe;E:\pic\_PICtemp\dog.rar;可能 DLOADER.Trojan;;
dog.rar\dog\usbhcid.sys;E:\pic\_PICtemp\dog.rar;Trojan.DownLoader.47705;;

jick117

Virus: Trojan-PSW.Win32.OnLineGames.sea, Trojan-Downloader.Win32.Delf.epw
File: dog[1].rar
Directory: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\A2IPKLV3
Process: iexplore.exe

sxingbai

都只来扫
是不是机器狗？
楼上怎么变了路径啊？

spaceplane

google老师说新版机器狗
http://www.yycqc.com/tech/2008/0304/article_71.html

黄金马甲出租

yyy2那个吧，没意思了，没意思了