继续上报吧

cici584522

反病毒引擎	版本	最后更新	扫描结果
AhnLab-V3	2008.3.15.0	2008.03.14	-
AntiVir	7.6.0.73	2008.03.14	HEUR/Malware
Authentium	4.93.8	2008.03.13	-
Avast	4.7.1098.0	2008.03.13	-
AVG	7.5.0.516	2008.03.14	-
BitDefender	7.2	2008.03.14	DeepScan:Generic.Graybird.0C6AEE04
CAT-QuickHeal	9.50	2008.03.13	-
ClamAV	0.92.1	2008.03.14	-
DrWeb	4.44.0.09170	2008.03.14	BackDoor.Pigeon.origin
eSafe	7.0.15.0	2008.03.09	-
eTrust-Vet	31.3.5614	2008.03.14	-
Ewido	4.0	2008.03.14	-
F-Prot	4.4.2.54	2008.03.13	W32/Hupigon.F.gen!Eldorado
F-Secure	6.70.13260.0	2008.03.14	-
FileAdvisor	1	2008.03.14	-
Fortinet	3.14.0.0	2008.03.14	-
Ikarus	T3.1.1.20	2008.03.14	Trojan-PWS.Win32.QQPass.pb
Kaspersky	7.0.0.125	2008.03.14	-
McAfee	5251	2008.03.13	-
Microsoft	1.3301	2008.03.13	-
NOD32v2	2947	2008.03.14	-
Norman	5.80.02	2008.03.13	-
Panda	9.0.0.4	2008.03.13	Suspicious file
Prevx1	V2	2008.03.14	-
Rising	20.35.42.00	2008.03.14	-
Sophos	4.27.0	2008.03.14	Mal/Behav-058
Sunbelt	3.0.963.0	2008.03.14	-
Symantec	10	2008.03.14	-
TheHacker	6.2.92.245	2008.03.14	-
VBA32	3.12.6.2	2008.03.13	MalwareScope.Trojan-PSW.Game.14
VirusBuster	4.3.26:9	2008.03.13	-
Webwasher-Gateway	6.6.2	2008.03.14	Heuristic.Malware

scottxzt

程序:
C:\DOCUMENTS AND SETTINGS\DELL\桌面\RSERVER.EXE
木马程序生成以下文件:
1) C:\WINDOWS\IEXP.RA
是否删除木马程序及其衍生物?

rest1min

又是被免杀过的Remote  ABC吧？

cici584522

原帖由 rest1min 于 2008-3-14 23:14 发表
又是被免杀过的Remote  ABC吧？

去试试看这份 http://bbs.kafan.cn/viewthread.php?tid=218226&extra=page%3D1

ballakay

已上报FS!

1688388728

2008-03-14 23:28:40    修改注册表内容      操作:阻止
进程路径:D:\样本\RServer\RServer.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\RNG
注册表名称:Seed
触发规则:应用程序规则->自动创建规则->D:\样本\*


2008-03-14 23:28:41    安装服务或者驱动      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\iexp.ra
触发规则:所有程序规则->*


2008-03-14 23:28:55    修改注册表内容      操作:阻止
进程路径:D:\样本\RServer\RServer.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\RNG
注册表名称:Seednt
触发规则:应用程序规则->自动创建规则->D:\样本\*


2008-03-14 23:28:55    修改注册表内容      操作:阻止
进程路径:D:\样本\RServer\RServer.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
注册表名称:AppData
注册表数据:C:\Documents and Settings\Administrator\Application Data
触发规则:应用程序规则->自动创建规则->D:\样本\*
2008-03-14 23:28:56    创建文件      操作:阻止
进程路径:D:\样本\RServer\RServer.exe
文件路径:C:\WINDOWS\iexp.ra
触发规则:应用程序规则->自动创建规则->D:\样本\*

mofunzone

Starting the file scan:

Begin scan in 'C:\Documents and Settings\Administrator\My Documents\RServer.rar'
C:\Documents and Settings\Administrator\My Documents\
  RServer.rar
    [0] Archive type: RAR
    --> RServer.exe
        [DETECTION] Contains suspicious code HEUR/Malware
      [WARNING]   The file was ignored!
  RServer.rar:Zone.Identifier

qigang

rising20.35.52未杀！

cici584522

原帖由 qigang 于 2008-3-15 21:45 发表
rising20.35.52未杀！

瑞X不杀没啥奇怪的吧

woai_jolin

熊猫卫士因特网安全2008事件报告
已选择的过滤器:检测到病毒, 可疑文件, 危险文件, 脚本执行, 电话连接, 连接尝试, 端口扫描攻击, 拒绝服务攻击, 欺骗, 攻击方 IP 地址已阻断, 已启用, 已禁用, 更新, 扫描已启动, 扫描已完成，日期:全部
事件                                      通知方式                        日期 – 时间          结果                  附加信息                                                                                                                                                                                                                                                                                          
-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
可疑操作:                                 防范未知威胁                    08/03/15 21:49:39     已阻断                程序： D:\PROGRAM FILES\SANDBOXIE\START.EXE