两个危险的病毒样本，具有很强的扩散性！！！

gzy_hao

佩服Norton，ESET NOD32报的是可能未知的NewHeur_PE病毒，Norton找出病毒并清除病毒代码，样本大小减少了。不过是否真的清除还有待查证。
Norton清毒成功，附件是ThreatExpert的报告，1是清毒前的Update的报告，2是清毒后的Update的报告，3是清毒前的Firewall的报告，4是清毒后的Firewall的报告
P.S.:我忘了，密码是threatexpert

[ 本帖最后由 gzy_hao 于 2009-2-28 20:19 编辑 ]

wmcxdb

干脆两个都点

hddu

2009-02-28 20:14:08    创建注册表值      操作:阻止
进程路径:E:\病毒样本\Firewall.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:WinFirewall
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*
2009-02-28 20:14:19    修改文件      操作:阻止
进程路径:E:\病毒样本\Firewall.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Installer\{C21C537D-6438-4574-825C-FBB1CB7BB54C}\_16496df1.exe
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.exe
2009-02-28 20:14:19    修改文件      操作:阻止
进程路径:E:\病毒样本\Firewall.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Installer\{C21C537D-6438-4574-825C-FBB1CB7BB54C}\_16496df1.exe
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.exe
2009-02-28 20:14:19    修改文件      操作:阻止
进程路径:E:\病毒样本\Firewall.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Installer\{C21C537D-6438-4574-825C-FBB1CB7BB54C}\_16496df1.exe
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.exe
2009-02-28 20:14:19    创建文件      操作:阻止并结束进程
进程路径:E:\病毒样本\Firewall.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Installer\{C21C537D-6438-4574-825C-FBB1CB7BB54C}\_16496df1.exe
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.exe
2009-02-28 20:14:21    创建注册表值      操作:阻止
进程路径:E:\病毒样本\Update.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:WinFirewall
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*
2009-02-28 20:14:38    修改文件      操作:阻止
进程路径:E:\病毒样本\Update.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Installer\{C21C537D-6438-4574-825C-FBB1CB7BB54C}\_18be6784.exe
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.exe
2009-02-28 20:14:38    修改文件      操作:阻止
进程路径:E:\病毒样本\Update.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Installer\{C21C537D-6438-4574-825C-FBB1CB7BB54C}\_18be6784.exe
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.exe
2009-02-28 20:14:38    修改文件      操作:阻止
进程路径:E:\病毒样本\Update.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Installer\{C21C537D-6438-4574-825C-FBB1CB7BB54C}\_18be6784.exe
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.exe
2009-02-28 20:14:38    创建文件      操作:阻止并结束进程
进程路径:E:\病毒样本\Update.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Installer\{C21C537D-6438-4574-825C-FBB1CB7BB54C}\_18be6784.exe
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.exe

605550642

多谢大家费心了！！！

江湖的fans

TO  KV

qianwenxiang

原来是……删除前36,863字节即可修复

gzy_hao

这个病毒很聪明，在后面也加了代码，也就是说病毒在文件首和文件末都加了36863个字节，我刚才用UltraEdit删除前36863个字符时发现后面也多了36863个字节，保留后面的36863个字节，Norton就查不出来了，不过后面多出来的这36863个字节有没有用，明天我去看ThreatExpert的报告
ThreatExpert的报告出炉了，原来后面的36863个字节没用，照样运行。

[ 本帖最后由 gzy_hao 于 2009-3-1 08:06 编辑 ]

尤金卡巴斯基

2009/2/28 22:09:18        已清除        病毒 Worm.Win32.AutoRun.vx        G:\Temp\Virus\病毒样本.rar/Update.exe               
2009/2/28 22:09:17        已清除        病毒 Worm.Win32.AutoRun.vx        G:\Temp\Virus\病毒样本.rar/Firewall.exe

雨宫优子

友情提醒各位....


你们可能在玩..........


或者说上了某个很伟大的人的当...


算了，不说了，笑喷了....

chima287

NOD32查出病毒样本有病毒