下午Powershadow被穿透，重灌系统到现在ok，病毒奉上。

z4y4

请别光查杀，能否告知些行为分析，谢谢！

wei023cn

去行为分析去~  这里只会拿个杀软杀一下……

wmcxdb

试了一个。

甜酸排骨

NIS殺，期待行為分析

laibao

动作很多！
2008.10.11 00:35:54 woauolt.exe  on start from explorer.exe
2008.10.11 00:35:54 woauolt.exe READONLY access to Thunder5.exe (Process)
2008.10.11 00:35:54 woauolt.exe READONLY access to \Device\NamedPipe\wkssvc (File)
2008.10.11 00:35:54 woauolt.exe READONLY access to \Device\NamedPipe\lsass (File)
2008.10.11 00:35:54 rundll32.exe  on start from woauolt.exe
2008.10.11 00:35:54 rundll32.exe DENY access to C:\WINDOWS\system32\drivers\lklosd.sys (File)
2008.10.11 00:35:54 rundll32.exe READONLY access to HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Thunder5.exe (Registry)
2008.10.11 00:35:54 rundll32.exe READONLY access to Thunder5.exe (Process)
2008.10.11 00:35:54 rundll32.exe READONLY access to \Device\NamedPipe\wkssvc (File)
2008.10.11 00:35:54 rundll32.exe READONLY access to \Device\NamedPipe\lsass (File)
2008.10.11 00:35:55 rundll32.exe REDIRECT access to HKU\S-1-5-21-311997385-1181126298-1754022312-500\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\taskkill.exe (Registry)
2008.10.11 00:35:55 taskkill.exe  on start from rundll32.exe
2008.10.11 00:35:55 taskkill.exe READONLY access to \Device\NamedPipe\lsass (File)
2008.10.11 00:35:55 taskkill.exe DENY C0C2 message to explorer.exe (Process)
2008.10.11 00:35:55 taskkill.exe DENY C0C2 message to ctfmon.exe (Process)
2008.10.11 00:35:55 rundll32.exe DENY C0C2 message to explorer.exe (Process)
2008.10.11 00:35:55 rundll32.exe DENY C0C2 message to ctfmon.exe (Process)
2008.10.11 00:36:24 woauolt.exe  on start from woauolt.exe
2008.10.11 00:36:24 woauolt.exe REDIRECT access to HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\361kary (Registry)
2008.10.11 00:36:24 woauolt.exe DENY access to C:\WINDOWS\system32\woauolt.exe (File)
2008.10.11 00:36:24 woauolt.exe DENY access to C:\WINDOWS\system32\woauolt.exe (File)
2008.10.11 00:36:24 cmd.exe  on start from woauolt.exe
2008.10.11 00:36:24 woauolt.exe DENY C0C2 message to explorer.exe (Process)
2008.10.11 00:36:24 woauolt.exe DENY C0C2 message to ctfmon.exe (Process)
2008.10.11 00:36:24 cmd.exe READONLY access to C:\Downloads\癳鷁噀鯪9Y\woauolt.exe (File)

solcroft

原帖由 z4y4 于 2008-10-10 23:40 发表
2：此病毒在注册表里添加了启动，但为何没有详细目录路径显示却只有一个文件名？

因为system.exe的位置是在path所指定的文件夹里，所以不需要输入路径，只需要文件名就可以了

C:\Documents and Settings\Limited User\Desktop\н¨Îļþ¼Ð\HBmhly.dll [L] Win32:Trojan-gen {Other} (0)
C:\Documents and Settings\Limited User\Desktop\н¨Îļþ¼Ð\mmc.exe [L] Win32:Small-LXO [Trj] (0)
C:\Documents and Settings\Limited User\Desktop\н¨Îļþ¼Ð\woauolt.exe [L] Win32:Spyware-gen [Trj] (0)

kingmuro

诺顿10.1杀之

breeze555

穿透性好。。牛B

cool168

瑞星没有发现病毒，看来我要改装其它的杀毒软件了

晒蜡的解药

看来使用 多安全防护电脑安全还是必要的。。。裸奔只适合牛人。。。