hiro.exe

megakotaro

紅傘報啟發，我還是回報
入庫比較安心，誤報也能解決

sam.to

Hello.
New malicious software was found in the attached file ().
It's detection will be included in the next update. Thank you for your help.

Please quote all when answering.

-----------------
Regards, Kirill Erakhtin
Virus Analyst, Kaspersky Lab.

Ph.: +7(095) 797-8700
E-mail: newvirus@kaspersky.com
http://www.kaspersky.com   http://www.viruslist.com

http://www.kaspersky.com/virusscanner - free online virus scanner.
http://www.kaspersky.com/helpdesk.html - technical support.

wangjay1980

还是你比较受欢迎啊

sam.to

不过大包不回

wangjay1980

呵呵，重要的是入库就行

浪滔天

最近上报回复很慢，有的索性就石沉大海了。

装了卡巴 2009 可以随便运行病毒，想死都死不了，有点郁闷，哈哈~

啊弥陀佛

微点拦截

九尾野狐

病毒名称：AntiVir ：HEUR/Malware  
                    AVG ：－
                    Kaspersky  ：Trojan-Dropper.Win32.VB.eeh
                    NOD32v2：－
                    Rising  ：－
VT查杀率： 6/35 (17.15% )
VT扫描时间：2008.09.04 08:21:40 (CET)

EQS  Lab编号：080904046
EQSL地址：http://hi.baidu.com/eqsyssecurity
病毒大小：46.1 KB (47,252 字节)
MD5码：DD72ECE8F86450F24571B3535DDAA8EE
病毒类型： 特洛伊木马
主要传播方式： 网络
测试平台： WinXP SP3系统 (默认Shell为BBlean)      EQSecurity（HIPS） 实机
危害程度：中


病毒行为：

运行后在自身所在目录创建bat

2008-09-04 14:22:08    创建文件      
进程路径:F:\Once\hiro\hiro.exe
文件路径:F:\Once\hiro\coa.bat
触发规则:所有程序规则->文件阻止及保护->?:\*.bat

BAT内容

copy hiro.exe C:\windows\hiro.exe
del coa.bat

调用

2008-09-04 14:22:14    运行应用程序      
进程路径:F:\Once\hiro\hiro.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c coa.bat
触发规则:高优先规则->In Side->%windir%\system32\cmd.exe

CMD将病毒复制到windows.目录

2008-09-04 14:22:38    创建文件      
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\hiro.exe
触发规则:所有程序规则->文件阻止及保护->?:\*.exe

以命令行调用reg.exe

2008-09-04 14:22:55    运行应用程序      
进程路径:F:\Once\hiro\hiro.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /t reg_sz /d C:\windows\hiro.exe /v hiro
触发规则:所有程序规则->系统工具->%windir%\system32\reg.exe

创建启动项

2008-09-04 14:23:50    创建注册表值      
进程路径:C:\WINDOWS\system32\reg.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:hiro
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

命令行调用reg.exe

2008-09-04 14:23:59    运行应用程序      
进程路径:F:\Once\hiro\hiro.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v asdasddzxcqad /f
触发规则:所有程序规则->系统工具->%windir%\system32\reg.exe

向reg.exe发送消息

2008-09-04 14:24:07    进程间消息操作      
进程路径:C:\WINDOWS\system32\conime.exe
目标进程:C:\WINDOWS\system32\reg.exe
消息类型:WM_COPYDATA
触发规则:所有程序规则->系统工具->%windir%\system32\reg.exe

删除启动项

2008-09-04 14:24:15    删除注册表      
进程路径:C:\WINDOWS\system32\reg.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:asdasddzxcqad
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

hzyw