D+的日志中都是block了svchost.exe对edb.chk的修改,这正常不?

wuhua

file:///C:/DOCUME%7E1/Fly/LOCALS%7E1/Temp/moz-screenshot.jpg为何svchost.exe每半分钟就会modife一次CatRoot2\edb.chk，是否有木马啊？
不过在重装的干净系统也是这样。

Mr.Z

允許就可以

iizhuy

其实。。。这个问题我也想问的。。。

我这里貌似没有这个提示

wuhua

问这个主要是因为在网上搜到一个木马的描述和这个现象很类似，故此有所怀疑。我是用的3.5正式版，用得抓抓的超安静规则，如果是个较普遍的现象估计就不会有大问题吧。



病毒名称： Trojan-Downloader.Win32.Delf.ain
病毒类型： 木马
文件 MD5： 8B10932BA81F41561EA62FF3E0426A17
公开范围： 完全公开
危害等级： 中
文件长度： 66,056 字节
感染系统： windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： 未知壳
命名对照： Symentec[Hacktool]
　　　　　 Mcafee[无]
病毒描述：
       

　　该病毒属木马类，病毒运行后在%system32%\CatRoot2下新建了大量.log文件，用以记录键盘操作，从而盗取用户敏感信息，并以邮件的形式发送给病毒作者。释放修改系统时间的文件到文件夹%system32%\CatRoot2下，使病毒文件的新建时间与系统时间不一至，同时释放文件碎片恢复文件%system32%\CatRoot2\.edb.chk，此文件可以恢复被删除的病毒文件，给手工删除此病毒带来了一定的困难。此病毒对用户有一定危害。

Mr.Z

我的也是這樣
而且在SYSTEM32底下的應不是偽裝的
樓主不放心就把它放到VT掃掃看

e_roamer

同问。既然抓抓的规则中把它设置为BLOCK，肯定有他的道理。抓抓能否解释一下？

抓抓

无需放行对这个文件的写入，保持阻止。。

（楼主再把图片放大一些，看不清）

以下是从网上找到的行为分析（一部分）：
=================================================================
行为分析：

病毒名称： Trojan-Downloader.Win32.Delf.ain
病毒类型： 木马
文件 MD5： 8B10932BA81F41561EA62FF3E0426A17




1、病毒运行后在%system32%\CatRoot2下新建了大量.log文件，用以记录键盘操作：

%system32%\CatRoot2\res1.log
%system32%\CatRoot2\res2.log
%system32%\CatRoot2\edb.log
%system32%\CatRoot2\dberr.txt
%system32%\CatRoot2\edbtmp.log
%system32%\CatRoot2\edb0001b.log


2、病毒记录键盘操作，并以邮件的形式发送给病毒作者..


3、释放修改系统时间的文件到文件夹%system32%\CatRoot2下,使病毒文件的新建时间与系统时间不一致：

%system32%\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\catdb
%system32%\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\TimeStamp
%system32%\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\ catdb
%system32%\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\ TimeStamp
%system32%\CatRoot2\tmp.edb


4、释放文件碎片恢复文件，用来恢复被删除的病毒文件，从而给手工删除此病毒带来了一定的困难：
%system32%\CatRoot2\.edb.chk

..............


=================================================================


当然，即使对.edb.chk放行，，这在个规则中，它也似乎无法写入log日志。。。

[ 本帖最后由 抓抓 于 2009-3-3 11:43 编辑 ]

Mr.Z

網上資料並未提供此木馬所在位置...如果svchost.exe在system32之下應屬正常程序

抓抓

原帖由 Mr.Z 于 2009-3-3 12:50 发表
網上資料並未提供此木馬所在位置...如果svchost.exe在system32之下應屬正常程序

这个讨论的应该不是svchost.exe程序本身的行为。。。

很多程序在运行的过程中都会调用svchost.exe执行一些动作。。。

有些动作（正常的）是必须的，，有些不是必须的。。。。