mail.exe

九尾野狐

病毒名称：AntiVir ：TR/Crypt.XPACK.Gen   
                    AVG ：Agent_r.I  
                    Kaspersky  ：－
                    NOD32v2：－
                    Rising  ：－
VT查杀率： 6/36 (16.67% )
VT扫描时间：2008.09.06 08:57:17 (CET)



病毒行为：

运行后会SCM

2008-09-06 15:06:35    访问服务管理器      
进程路径:F:\Once\mail\email.exe
触发规则:所有程序规则->*

修改Security Center、WindowsFirewall设置以绕过联网

2008-09-06 15:06:37    创建注册表值      
进程路径:F:\Once\mail\email.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
注册表名称:FirewallDisableNotify
触发规则:所有程序规则->系统设置->HKEY_LOCAL_MACHINE\Software\Microsoft\Security center

2008-09-06 15:06:37    创建注册表值      
进程路径:F:\Once\mail\email.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
注册表名称:FirewallOverride
触发规则:所有程序规则->系统设置->HKEY_LOCAL_MACHINE\Software\Microsoft\Security center

2008-09-06 15:06:37    创建注册表值      
进程路径:F:\Once\mail\email.exe
注册表路径:HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall\DomainProfile
注册表名称:[Key]
触发规则:所有程序规则->网络相关->*\Software\Policies\Microsoft\Windowsfirewall*

2008-09-06 15:06:37    创建注册表值      
进程路径:F:\Once\mail\email.exe
注册表路径:HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall\StandardProfile
注册表名称:[Key]
触发规则:所有程序规则->网络相关->*\Software\Policies\Microsoft\Windowsfirewall*

向WINDOWS目录创建BAT  EXE

2008-09-06 15:06:37    创建文件      
进程路径:F:\Once\mail\email.exe
文件路径:C:\WINDOWS\file.bat
触发规则:所有程序规则->文件阻止及保护->?:\*.bat

2008-09-06 15:06:38    创建文件      
进程路径:F:\Once\mail\email.exe
文件路径:C:\windows\services.exe
触发规则:所有程序规则->文件阻止及保护->?:\*.exe

BAT内容

netsh firewall add allowedprogram F:\Once\mail\email.exe allowed ENABLEdel

调用BAT

2008-09-06 15:07:34    运行应用程序      
进程路径:F:\Once\mail\email.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c "file.bat"
触发规则:高优先规则->In Side->%windir%\system32\cmd.exe

2008-09-06 15:07:37    运行应用程序      
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\netsh.exe
命令行:firewall add allowedprogram F:\Once\mail\email.exe allowed ENABLE
触发规则:所有程序规则->系统工具->%windir%\system32\netsh.exe

调用EXE

2008-09-06 15:07:43    运行应用程序      
进程路径:F:\Once\mail\email.exe
文件路径:C:\WINDOWS\services.exe
触发规则:所有程序规则->阻止运行->%windir%\*

SCM

2008-09-06 15:07:47    访问服务管理器      
进程路径:C:\WINDOWS\services.exe
触发规则:所有程序规则->*

修改Security Center、WindowsFirewall设置以绕过联网

2008-09-06 15:07:48    创建注册表值      
进程路径:C:\WINDOWS\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
注册表名称:FirewallDisableNotify
触发规则:所有程序规则->系统设置->HKEY_LOCAL_MACHINE\Software\Microsoft\Security center

2008-09-06 15:07:48    创建注册表值      
进程路径:C:\WINDOWS\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
注册表名称:FirewallOverride
触发规则:所有程序规则->系统设置->HKEY_LOCAL_MACHINE\Software\Microsoft\Security center

2008-09-06 15:07:48    创建注册表值      
进程路径:C:\WINDOWS\services.exe
注册表路径:HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall\DomainProfile
注册表名称:[Key]
触发规则:所有程序规则->网络相关->*\Software\Policies\Microsoft\Windowsfirewall*

2008-09-06 15:07:48    创建注册表值      
进程路径:C:\WINDOWS\services.exe
注册表路径:HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\WindowsFirewall\StandardProfile
注册表名称:[Key]
触发规则:所有程序规则->网络相关->*\Software\Policies\Microsoft\Windowsfirewall*

创建BAT  如已存在则覆盖

2008-09-06 15:07:48    修改文件      
进程路径:C:\WINDOWS\services.exe
文件路径:C:\WINDOWS\file.bat
触发规则:所有程序规则->文件阻止及保护->?:\*.bat

2008-09-06 15:07:52    运行应用程序      
进程路径:C:\WINDOWS\services.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c "file.bat"
触发规则:高优先规则->In Side->%windir%\system32\cmd.exe

2008-09-06 15:07:54    运行应用程序      
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\netsh.exe
命令行:firewall add allowedprogram F:\Once\mail\email.exe allowed ENABLE
触发规则:所有程序规则->系统工具->%windir%\system32\netsh.exe

修改自身

2008-09-06 15:07:58    修改文件      
进程路径:C:\WINDOWS\services.exe
文件路径:C:\windows\services.exe
触发规则:所有程序规则->文件阻止及保护->?:\*.exe

联网行为：




[ 本帖最后由 没注册 于 2008-9-6 16:12 编辑 ]

Palkia

金山 0

barbara

运行后kis8成功拦截

啊弥陀佛

微点拦截

浪滔天

两个生成物。

Nerazzurri

file.bat      VBS:Malware-gen

Nerazzurri

Begin scan in 'C:\Users\Nerazzurri\Desktop\services.rar'
C:\Users\Nerazzurri\Desktop\services.rar
    [0] Archive type: RAR
    --> services.exe
      [DETECTION] Is the TR/Crypt.XPACK.Gen Trojan
    --> file.bat
      [DETECTION] Contains recognition pattern of the BAT/FWDisable.MU batch virus
    [DETECTION] Contains recognition pattern of the BAT/FWDisable.MU batch virus
    [NOTE]      The file was deleted!

qigang

RS20.60.52未杀！

尤金卡巴斯基

2008/9/6 18:52:25        已清除        木马程序 Trojan-Proxy.Win32.Small.mu        G:\Temp\Virus\services.rar/file.bat               
2008/9/6 18:47:55        已清除        木马程序 Trojan-Downloader.Win32.Agent.yvi        G:\Temp\Virus\Server.rar/Server.exe

BING126

McAfee  miss