收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 下午Powershadow被穿透，重灌系统到现在ok，病毒奉上。
12345
返回列表 发新帖
楼主: z4y4
 收起左侧

[病毒样本] 下午Powershadow被穿透，重灌系统到现在ok，病毒奉上。

[复制链接]
lmsa613
发表于 2008-10-12 10:19:14 | 显示全部楼层
这个病毒江民有提示，病毒库2008.10.11
回复

举报

bajefghy
发表于 2008-10-12 11:16:46 | 显示全部楼层
江民杀了

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

松涛
发表于 2008-10-17 00:01:53 | 显示全部楼层
动作真的不少，下面是运行woauolt.exe后的部分AD动作

2008-10-12 20:17:58        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\svchost.exe
系统设备名称:\Device\NamedPipe\net\NtControlPipe4
2008-10-12 20:17:58        应用程序保护(访问服务管理器)     操作:允许
进程路径:C:\WINDOWS\system32\svchost.exe
2008-10-12 20:17:34        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
文件路径:C:\WINDOWS\system32\wshtcpip.dll
2008-10-12 20:17:34        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
文件路径:C:\WINDOWS\system32\hnetcfg.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
文件路径:C:\WINDOWS\system32\mlang.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
文件路径:C:\WINDOWS\system32\security.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
文件路径:D:\EQSecurePro\EQSandBoxUI.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
文件路径:C:\WINDOWS\system32\rasadhlp.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\apphelp.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\usp10.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\lpk.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\imm32.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\uxtheme.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\msacm32.dll
2008-10-12 20:17:33        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\winmm.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\AppPatch\AcGenral.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
文件路径:C:\WINDOWS\system32\dnsapi.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
文件路径:C:\WINDOWS\system32\mswsock.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\shimeng.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\apphelp.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\comctl32.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\usp10.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\lpk.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\imm32.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\uxtheme.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\userenv.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\shlwapi.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\shell32.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\version.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\msacm32.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\oleaut32.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\ole32.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\winmm.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\secur32.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\rpcrt4.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\advapi32.dll
2008-10-12 20:17:32        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\AppPatch\AcGenral.dll
2008-10-12 20:17:31        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\shimeng.dll
2008-10-12 20:17:31        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\gdi32.dll
2008-10-12 20:17:31        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\user32.dll
2008-10-12 20:17:31        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\msvcrt.dll
2008-10-12 20:17:31        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\kernel32.dll
2008-10-12 20:17:31        应用程序保护(加载库文件)     操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\ntdll.dll
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\woauolt.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass
2008-10-12 20:17:31        应用程序保护(系统设备控制)     操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
系统设备名称:\Device\NamedPipe\lsass


用EQ的规则第一个FD动作就给拦了：
2008-10-12 20:24:38    删除文件      操作:阻止并结束进程
进程路径:D:\新建文件夹\WOAUOLT.EXE
文件路径:C:\WINDOWS\system32\woauolt.exe
触发规则:所有程序规则->可执行文件规则->%windir%\*.exe

[ 本帖最后由 松涛 于 2008-10-17 00:10 编辑 ]
回复

举报

hellobaby
发表于 2008-10-17 21:40:09 | 显示全部楼层
nod全灭
回复

举报

neverstay
发表于 2008-10-18 07:39:58 | 显示全部楼层
有米有路径无所吧...只要在系统或者path下, 就可以运行~
回复

举报

steven2008 该用户已被删除
发表于 2008-10-18 08:38:37 | 显示全部楼层
nis2008 杀
回复

举报

sanhu35
发表于 2008-10-18 13:32:56 | 显示全部楼层
不是蝗虫么
回复

举报

12345
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-2-3 01:40 , Processed in 0.095199 second(s), 14 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表