收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › _BOOT.TXT.EXE----何方神圣？
返回列表 发新帖
查看: 2896|回复: 9
收起左侧

[病毒样本] _BOOT.TXT.EXE----何方神圣？

[复制链接]
拿贝马凡
发表于 2009-3-5 19:00:48 | 显示全部楼层 |阅读模式
今天为别人修复一个变成raw格式的优盘时，将文件恢复出来后，看到一个文本文件图标的exe文件，我也没有注意，点击后自动消失，我意识到是一个病毒，打开eq（因为要用恢复软件，关闭了eq），并用windows 清理助手扫描终于找到黑手----_BOOT.TXT.EXE，看到他调用IEXPLORE.EXE和svchost.exe，应该是一个后门程序，后面附上样本。
2009-03-05 17:56:48    修改注册表内容      操作:阻止
进程路径:C:\program files\internet explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 17:56:48    创建文件      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:Z:\AutoRun.inf
触发规则:应用程序规则->信任程序->%windir%\system32\svchost.exe->?:\autorun.inf


2009-03-05 17:56:48    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 17:56:48    修改注册表内容      操作:阻止
进程路径:C:\program files\internet explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 17:56:48    创建文件      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:Z:\AutoRun.inf
触发规则:应用程序规则->信任程序->%windir%\system32\svchost.exe->?:\autorun.inf


2009-03-05 17:56:48    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 17:56:48    修改注册表内容      操作:阻止
进程路径:C:\program files\internet explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 17:56:48    创建文件      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:Z:\AutoRun.inf
触发规则:应用程序规则->信任程序->%windir%\system32\svchost.exe->?:\autorun.inf


2009-03-05 17:56:48    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 17:56:48    修改注册表内容      操作:阻止
进程路径:C:\program files\internet explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 17:56:48    创建文件      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:Z:\AutoRun.inf
触发规则:应用程序规则->信任程序->%windir%\system32\svchost.exe->?:\autorun.inf


2009-03-05 17:56:48    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 18:02:17    修改注册表内容      操作:阻止
进程路径:C:\program files\internet explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 18:02:17    创建文件      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:Z:\AutoRun.inf
触发规则:应用程序规则->信任程序->%windir%\system32\svchost.exe->?:\autorun.inf


2009-03-05 18:02:17    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 18:02:17    修改注册表内容      操作:阻止
进程路径:C:\program files\internet explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 18:02:17    创建文件      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:Z:\AutoRun.inf
触发规则:应用程序规则->信任程序->%windir%\system32\svchost.exe->?:\autorun.inf


2009-03-05 18:02:17    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 18:02:17    修改注册表内容      操作:阻止
进程路径:C:\program files\internet explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 18:02:17    创建文件      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:Z:\AutoRun.inf
触发规则:应用程序规则->信任程序->%windir%\system32\svchost.exe->?:\autorun.inf


2009-03-05 18:02:17    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 18:02:17    修改注册表内容      操作:阻止
进程路径:C:\program files\internet explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*


2009-03-05 18:02:18    创建文件      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:Z:\AutoRun.inf
触发规则:应用程序规则->信任程序->%windir%\system32\svchost.exe->?:\autorun.inf


2009-03-05 18:02:18    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\svchost.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\Currentversion\Policies*






软件名称 引擎版本
病毒库版本
病毒库时间
扫描结果
时间
a-squared4.0.0.32200903050453322009-03-05Trojan.Win32.StartPage!IK
2.345
AntiVir7.9.0.1007.1.2.1222009-03-05BDS/Backdoor.Gen
1.888
Authentium5.1.12009030417472009-03-04W32/Hupigon.C.gen!Eldorado (Possible)
1.090
AVAST!3.0.1090305-02009-03-05Win32:Rootkit-gen [Rtk]
0.029
AVG7.5.52.442270.11.8/19842009-03-04BackDoor.Hupigon4.USC
1.939
BitDefender7.81008.27371747.239792009-03-05Gen:Trojan.Heur.A211213474
3.807
CA (VET)9.0.0.14331.6.63822009-03-05-
12.860
ClamAV0.94.290702009-03-05Trojan.Hupigon-21401
0.122
Comodo3.89862009-03-04-
0.458
CP Secure1.1.0.7152009.03.052009-03-05BackDoor.W32.Hupigon.aclm
7.239
Dr.Web4.44.0.91702009.03.052009-03-05-
4.293
F-Prot4.4.4.56200903042009-03-04W32/Hupigon.C.gen!Eldorado (generic, not disinfectable)
1.080
F-Secure5.51.61002009.03.05.032009-03-05-
4.839
GData19.3641/19.249200903052009-03-05Win32:Rootkit-gen [Rtk] [Engine:B]
3.458
IkarusT3.1.01.452009.03.05.723852009-03-05Trojan.Win32.StartPage
3.880
Microsoft1.44052009.03.052009-03-05Worm:Win32/Autorun.PP
6.323
mks_vir2.012009.03.042009-03-04Win32.4
2.760
Norman6.00.066.00.002009-03-04W32/Hupigon.gen241
8.010
nProtect20090304.0232173092009-03-04Trojan/W32.Hijack.604160
3.870
Quick Heal10.002009.03.042009-03-04Worm.Autorun.pp
0.922
Sophos2.84.14.392009-03-05-
2.135
Sunbelt502250222009-03-04VIPRE.Suspicious
0.739
The Hacker6.3.2.7v002722009-03-04-
0.544
VBA323.12.10.120090304.14432009-03-04MalwareScope.Trojan-PSW.Game.16
3.512
ViRobot200903042009.03.042009-03-04-
0.412
VirusBuster4.5.11.1010.101.34/9651812009-03-05-
1.427
卡巴斯基5.5.102009.03.052009-03-05-
0.102
安博士V32009.03.05.022009.03.052009-03-05Win-Trojan/Hupigon.604160.QJ
1.404
安天2.0.1820090305.22100172009-03-05Backdoor/Win32.Hupigon.eeyr
0.118
江民杀毒11.0.7062009.03.052009-03-05Backdoor/Agent.bogf
1.669
熊猫卫士9.05.012009.03.042009-03-04-
1.753
瑞星20.021.19.30.002009-03-05Backdoor.Win32.ShangXing.kd
0.902
赛门铁克1.3.0.2420090304.0172009-03-04Backdoor.Graybird
0.054
趋势科技8.700-10045.882.012009-03-04BKDR_SHANGXIN.AV
0.032
迈克菲5.3.0055432009-03-04New Malware.hi
2.859
金山毒霸2009.2.5.152009.3.5.132009-03-05Win32.Hack.ShangXing.a.1363968
0.690
飞塔2.81-3.11710.1182009-03-04-
0.345

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

ledled
发表于 2009-3-5 19:05:42 | 显示全部楼层
VirusBuster found nothing
基本都报了
回复

举报

Palkia
发表于 2009-3-5 19:51:00 | 显示全部楼层
rs backdoor.shangxing.kd
回复

举报

hddu
发表于 2009-3-5 19:58:31 | 显示全部楼层
2009-03-05 19:55:32    创建文件      操作:阻止
进程路径:D:\_BOOT[1].TXT\_BOOT.TXT.EXE
文件路径:C:\Program Files\Common Files\Microsoft Shared\MSINFO\boot.txt.exe
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\Common Files\Microsoft Shared\*
2009-03-05 19:55:32    创建文件      操作:阻止
进程路径:D:\_BOOT[1].TXT\_BOOT.TXT.EXE
文件路径:C:\Program Files\Common Files\Microsoft Shared\MSINFO\boot.txt.exe
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\Common Files\Microsoft Shared\*
2009-03-05 19:55:32    创建文件      操作:阻止
进程路径:D:\_BOOT[1].TXT\_BOOT.TXT.EXE
文件路径:C:\Program Files\Common Files\Microsoft Shared\MSINFO\boot.txt.exe
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\Common Files\Microsoft Shared\*
2009-03-05 19:55:32    创建文件      操作:阻止并结束进程
进程路径:D:\_BOOT[1].TXT\_BOOT.TXT.EXE
文件路径:C:\AutoRun.inf
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->?:\autorun.inf
2009-03-05 19:55:32    读取文件      操作:阻止
进程路径:D:\_BOOT[1].TXT\_BOOT.TXT.EXE
文件路径:C:\AutoRun.inf
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->?:\autorun.inf
回复

举报

leonfg
发表于 2009-3-5 20:17:22 | 显示全部楼层
eset
2009-03-05 20:16:16        Real-time file system protection        file        C:\DOCUME~1\GUNDAM\LOCALS~1\Temp\Rar$DR00.359\_BOOT.TXT.EXE        probably a variant of Win32/Hupigon trojan        cleaned by deleting - quarantined        CHINESE-GUNDAM\GUNDAM        Event occurred on a new file created by the application: C:\Program Files\WinRAR\WinRAR.exe.
回复

举报

wsmurderer
发表于 2009-3-5 20:21:18 | 显示全部楼层
程序：
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\_BOOT.TXT.EXE
木马程序生成以下文件：
1) C:\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\MSINFO\BOOT.TXT.EXE
2) C:\WINDOWS\_BOOT.TXT.EXE
3) C:\BOOT.TXT.EXE
是否删除木马程序及其衍生物?
回复

举报

尤金卡巴斯基
发表于 2009-3-5 23:01:00 | 显示全部楼层
启发
2009/3/5 23:00:43        已隔离        病毒 HEUR:Trojan.Win32.Generic        G:\Temp\Virus\_BOOT.TXT\_BOOT.TXT.EXE       
To KL
回复

举报

尤金卡巴斯基
发表于 2009-3-5 23:05:44 | 显示全部楼层
Hello,


_BOOT.TXT.EXE - Backdoor.Win32.Hupigon.ggsp

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Regards, Vitaly Yakutenko
Virus analyst, Kaspersky Lab.
10/1, 1st Volokolamsky Proezd, Moscow, 123060, Russia
Tel./Fax: + 7 (495) 797 8700
http://www.kaspersky.com http://www.viruslist.com
回复

举报

拿贝马凡
 楼主| 发表于 2009-3-6 08:44:27 | 显示全部楼层
从病毒调用的进程来看，应该是一个游戏盗号类的病毒，特别是网吧之类的，好传输。而且会隐藏进程
[124] C:\program files\internet explorer\IEXPLORE.EXE   
[1548] C:\WINDOWS\system32\conime.exe
，这个病毒不好删除的原因就是它回将他的驱动设置为Boot Start
回复

举报

BING126
头像被屏蔽
发表于 2009-3-6 21:21:46 | 显示全部楼层
McAfee kill
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2026-3-26 10:08 , Processed in 0.088182 second(s), 4 queries , Redis On.

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表