两次内存断点+几次ESP后脱一个未知壳

江湖的fans

TO  RISING

神情倔强

我也汗，，，，，，，，，，，，，，，，，，，

SUZAKU

卡巴斯基杀毒报告

扫描文件数：4

查杀（病毒、木马）数：1

详细杀毒报告列表：

2009-3-29 18:44:41        已删除: Trojan-Spy.Win32.Agent.ajnw        C:\Documents and Settings\Try\桌面\新建文件夹\Desktop.zip/setup.exe               

BING126

McAfee miss

拂晓时分

小ａ没发现什么．

zhuwg

原帖由 qianwenxiang 于 2009-3-29 09:43 发表
bp GetVersion Alt+f9  这样也给碰上了

适合没有反调试的VC程序~

左手

2009-03-30 12:30:12    修改注册表内容      操作:阻止
进程路径:E:\virus\dumped_.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
注册表名称:AppData
触发规则:所有程序规则->07-系统和软件操作（黑白）->*\Software\Microsoft\Windows*\*


2009-03-30 12:30:12    创建文件      操作:阻止
进程路径:E:\virus\dumped_.exe
文件路径:C:\Documents and Settings\All Users\Application Data\Microsoft\bits.dll
触发规则:应用程序规则->02-允许修改的程序->*.*->*\*.dll


2009-03-30 12:30:12    创建文件      操作:阻止
进程路径:E:\virus\dumped_.exe
文件路径:C:\Documents and Settings\All Users\Application Data\Microsoft\ipdll.dll
触发规则:应用程序规则->02-允许修改的程序->*.*->*\*.dll


2009-03-30 12:30:12    创建文件      操作:阻止并结束进程
进程路径:E:\virus\dumped_.exe
文件路径:C:\WINDOWS\system32\svcnost.exe
触发规则:应用程序规则->02-允许修改的程序->*.*->*\*.exe


2009-03-30 12:30:14    修改注册表内容      操作:阻止
进程路径:E:\virus\setup.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
注册表名称:AppData
触发规则:所有程序规则->07-系统和软件操作（黑白）->*\Software\Microsoft\Windows*\*


2009-03-30 12:30:14    创建文件      操作:阻止
进程路径:E:\virus\setup.exe
文件路径:C:\Documents and Settings\All Users\Application Data\Microsoft\bits.dll
触发规则:应用程序规则->02-允许修改的程序->*.*->*\*.dll


2009-03-30 12:30:14    创建文件      操作:阻止
进程路径:E:\virus\setup.exe
文件路径:C:\Documents and Settings\All Users\Application Data\Microsoft\ipdll.dll
触发规则:应用程序规则->02-允许修改的程序->*.*->*\*.dll


2009-03-30 12:30:14    创建文件      操作:阻止并结束进程
进程路径:E:\virus\setup.exe
文件路径:C:\WINDOWS\system32\svcnost.exe
触发规则:应用程序规则->02-允许修改的程序->*.*->*\*.exe