1

tonger2003

zwl2828

复制自身到Temp，释放一个自解压程序。

2008/6/13 9:24:56 3.94.23340.exe  Process exit C:\Users\Wesley\Downloads\3.94.23340\3.94.23340.exe
2008/6/13 9:24:55 3.94.23340.exe  Process start C:\Users\Wesley\Downloads\3.94.23340\3.94.23340.exe
2008/6/13 9:24:55 3.94.23340.exe  Placed in group Low Restricted

;下面的注释包含自解压脚本命令
Path=%systemroot%\temp\
SavePath
Setup=2.exe
Setup=1.exe
Silent=1
Overwrite=1

2008/6/13 9:25:19 s.exe  Process exit C:\WINDOWS\Temp\s.exe
2008/6/13 9:24:56 s.exe Denied: KLSystemData/KLSystemFiles/SystemExe Create c:\Windows\temp\2.exe
2008/6/13 9:24:56 s.exe Denied: KLSystemData/KLSystemFiles/SystemExe Create c:\Windows\temp\2.exe
2008/6/13 9:24:56 s.exe Denied: KLSystemData/KLSystemFiles/SystemExe Create c:\Windows\temp\1.exe
2008/6/13 9:24:56 s.exe Denied: KLSystemData/KLSystemFiles/SystemExe Create c:\Windows\temp\1.exe
2008/6/13 9:24:56 s.exe  Process start C:\WINDOWS\Temp\s.exe
2008/6/13 9:24:56 s.exe : Suspicious.Packer Placed in group High Restricted

2008/6/13 9:28:21 Detected: Suspicious.Packer C:\Users\Wesley\Desktop\s.exe/1.exe/NSPack/PE_Patch.Stolen

[ 本帖最后由 zwl2828 于 2008-6-13 09:29 编辑 ]

aaad2008

kv监控

释放gezi
trojan agent


kv主防

试图 windows\temp\s.exe

点禁止 中断病毒的注册

点允许

c:\windows\temp\s.exe                                                                            HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Directory = C:\Documents and Settings\xx\Local Settings\Temporary Internet Files\Content.IE5 设置可疑注册表                               2008-6-13 9:40:44 拒绝              

c:\windows\temp\s.exe                                                                            HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders                                                                                                创建可疑注册表键                              2008-6-13 9:40:49 拒绝              

c:\windows\temp\s.exe                                                                            HKEY_LOCAL_MACHINE\Software\Microsoft\Windows                                                                                                                                           创建可疑注册表键                              2008-6-13 9:40:50 拒绝

[ 本帖最后由 aaad2008 于 2008-6-13 09:47 编辑 ]

Kitman

Sent to Avira

zenwalk

Win32:Hupigon-YY [Trj]

爬墙找红杏

红伞没反应，用e盾阻止新建文件

啊弥陀佛

微点砍掉

aaad2008

瑞星报gezi
其他杀软报的其他东西

[ 本帖最后由 aaad2008 于 2008-6-13 10:12 编辑 ]

ch00962610

用G DATA AntiVirus检测病毒
版本 18.5.8071.731
病毒特征库日期 2008/6/13
开始时间： 2008/6/13 10:40
引擎： 引擎A (AVK 18.4113), 引擎B (AVKB 18.305)
启发式： 开启
档案文件： 开启
系统区域： 开启

检测系统区域...
检测以下目录和文件：
  C:\Documents and Settings\祝俊杰\桌面\3[1].94.23340.rar

对象： 3.94.23340.exe\s.exe\1.exe
        在压缩档案中： C:\Documents and Settings\祝俊杰\桌面\3[1].94.23340.rar
        状态： 检测到病毒
        病毒： Win32:Hupigon-YY [Trj] (引擎B)
对象： 3[1].94.23340.rar
        路径: C:\Documents and Settings\祝俊杰\桌面
        状态： 移动文件到隔离区
        病毒： Win32:Hupigon-YY [Trj] (4x) (引擎B)

检测执行时间： 2008/6/13 10:40
    1个文件已检测
    1个受感染文件
    0个可疑文件被发现

ssy275

KIS8 MISS