Shadow Defender 1.1.0.275被穿！

显示全部楼层 · 发表于 2008-11-4 19:56:03

本帖最后由 107 于 2010-12-21 21:12 编辑

你们的有这种情况吗？
样本在附件中大家试试对不对，我提取了两个

我电脑C D分区,C是SD保护，为排除其他盘启动后感染的可能，SD影子状态下格式化了D盘，重启后依旧中毒

为了安全附件设个密码0

有人反映说可能样本提取不全，这种情况下觉得那个userinit.exe 是不是需要替换系统文件后才行
今天重新提取了样本并找到了下载木马列表kn.txt
下载者木马列表有34个，其中16个能下载下来
大家测试下
将近20个还不确定那个是穿还原的木马

临时文件tem里面有个
749730
749742
没后缀
进程里面也有个749742
还有个d7b49fa.sys不知道从哪里释放出来的

[ 本帖最后由 noldna 于 2008-11-5 13:18 编辑 ]

显示全部楼层 · 发表于 2008-11-4 19:59:13

lz把情况说的清晰一点，最好把样本也拿上来，如果被穿也好让sd改进啊

显示全部楼层 · 发表于 2008-11-4 20:12:47

有样本拿样本，没样本封贴走人了，呵呵

显示全部楼层 · 发表于 2008-11-4 20:23:45

标题党……

显示全部楼层 · 发表于 2008-11-4 20:52:33

我先问下你们什么情况再考虑是不是需要样本嘛什么标题党

显示全部楼层 · 发表于 2008-11-4 20:54:33

原帖由 noldna 于 2008-11-4 20:52 发表
我先问下你们什么情况再考虑是不是需要样本嘛什么标题党

感觉有问题就把样本传上来，虚拟区说穿透的很多其实都不是，再说了哪有那么巧你与别人同时都穿透了

显示全部楼层 · 发表于 2008-11-4 20:55:36

那大家测试下看穿不

显示全部楼层 · 发表于 2008-11-4 22:06:45

先说下杀软报的
费尔2008-11-4 22:01:58 TrojanGameThief.MultiFirst.h.doey 木马 Administrator G:\Downloads\System.exe Realtime scan

nod
时间模块对象名称病毒操作用户名称信息
2008-11-4 22:02:04 AMON 文件 G:\Downloads\userinit.exe Win32/TrojanDownloader.Small.OGQ 木马的变种已隔离 - 已删除 ADMIN\Administrator 程序新建文件时发生事件： D:\Program Files 1\WinRAR\WinRAR.exe. 文件已被移入隔离区。您可以关闭本窗口。

时间模块对象名称病毒操作用户名称信息
2008-11-4 22:02:01 AMON 文件 G:\Downloads\System.exe Win32/PSW.OnLineGames.NRF 木马已隔离 - 已删除 ADMIN\Administrator 程序新建文件时发生事件： D:\Program Files 1\WinRAR\WinRAR.exe. 文件已被移入隔离区。您可以关闭本窗口。

显示全部楼层 · 发表于 2008-11-4 22:30:06

這不算樣本吧

重啟前好像就沒啥事發生了啊還重啟後咧
ps : 我265 只裝sd啥都沒裝因為我本來就打算有點要重裝系統了
看來我想重裝只能再等等了吧

显示全部楼层 · 发表于 2008-11-4 22:36:42

这个我用275，但也没打算重装～所以纯支持下～等高手验证下吧

[讨论] Shadow Defender 1.1.0.275被穿！