过NOD32，大蜘蛛，卡巴高启发，过瑞星表面的样本一个。

冲冲

原帖由 小白不乖 于 2009-4-5 17:43 发表
我已经上报了。
结果。。。回复的还是两种语言的

Hello,
No malicious software was found in the attached file.

Здравствуйте,

В присланном Вами файле не ...

好玩

yjwfdc

实机，《智能版eq》测试结果

点允许


点允许


点阻止


点允许


点允许


点允许7次




2009-04-05 23:51:33    创建文件      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
文件路径:C:\Program Files\Common Files\Microsoft Shared\MSInfo\5201314.exe
触发规则:所有程序规则->175_CommonProgramFilesx->%CommonProgramFiles%\Microsoft Shared\MSInfo\*.exe

2009-04-05 23:52:55    修改文件      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
文件路径:(隐藏文件>C:\Program Files\Common Files\Microsoft Shared\MSInfo\5201314.exe
触发规则:所有程序规则->175_CommonProgramFilesx->%CommonProgramFiles%\Microsoft Shared\MSInfo\*.exe

2009-04-05 23:53:34    创建注册表值      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\99999999999999999999999
注册表名称:[Key]
触发规则:应用程序规则->030_信任x->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\*

2009-04-05 23:54:16    创建文件      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
文件路径:C:\WINDOWS\system32\Deleteme.bat
触发规则:所有程序规则->110_保护系统exe_x->%windir%\system32\*.bat

2009-04-05 23:54:56    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c C:\WINDOWS\system32\Deleteme.bat
触发规则:所有程序规则->070_命令行x->*\cmd.exe

2009-04-05 23:55:44    修改其它进程内存      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
目标进程:C:\Program Files\Internet Explorer\iexplore.exe
触发规则:所有程序规则->070_命令行x->C:\Program Files\Internet Explorer\iexplore.exe

2009-04-05 23:55:49    修改其它进程内存      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
目标进程:C:\Program Files\Internet Explorer\iexplore.exe
触发规则:所有程序规则->070_命令行x->C:\Program Files\Internet Explorer\iexplore.exe

2009-04-05 23:55:50    修改其它进程内存      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
目标进程:C:\Program Files\Internet Explorer\iexplore.exe
触发规则:所有程序规则->070_命令行x->C:\Program Files\Internet Explorer\iexplore.exe

2009-04-05 23:55:57    修改其它进程内存      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
目标进程:C:\Program Files\Internet Explorer\iexplore.exe
触发规则:所有程序规则->070_命令行x->C:\Program Files\Internet Explorer\iexplore.exe

2009-04-05 23:55:57    修改其它进程内存      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
目标进程:C:\Program Files\Internet Explorer\iexplore.exe
触发规则:所有程序规则->070_命令行x->C:\Program Files\Internet Explorer\iexplore.exe

2009-04-05 23:55:58    修改其它进程内存      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
目标进程:C:\Program Files\Internet Explorer\iexplore.exe
触发规则:所有程序规则->070_命令行x->C:\Program Files\Internet Explorer\iexplore.exe

2009-04-05 23:55:58    修改其它进程内存      操作:允许
进程路径:C:\Documents and Settings\lwx\桌面\木马病毒样本，解压密码是kafan\服务端99999.exe
目标进程:C:\Program Files\Internet Explorer\iexplore.exe
触发规则:所有程序规则->070_命令行x->C:\Program Files\Internet Explorer\iexplore.exe

2009-04-05 23:56:12    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\Deleteme.bat
触发规则:应用程序规则->111_脚本x->*\cmd.exe->%windir%\*

HKLHF

我晕
微点宣传贴？

杨雪

值得一提我使用的ウイルスキラー（日本版瑞星杀毒，北斗神拳版），是报毒的。
不过，ウイルスキラー是我废了好多时间（几个月）重新设置过规则的，不知道是不是这个原因？

如果想测试日本版瑞星原版报不报毒，我就不知道了……

这里是日本瑞星官网http://www.viruskiller.jp/

[ 本帖最后由 杨雪 于 2009-4-6 09:53 编辑 ]

7tianshi

也过了avast....

yaoyifan

NOD32没有报告！360开始狂叫了！

song-ci

VirSCAN  的avg怎么还是7.5的，没查出来还真可惜，avg啊

jlj383940

把自身复制到C:\Program Files\Common Files\Microsoft Shared\MSInfo目录下，生成一个名为5201314.exe的文件（隐藏属性的），并利用IEXPLORE.EXE启动自身
--------------------------------------------------------------------------------------------------
这是楼主的说明，但是所启动的IE进程并没有联网动作，还能算木马吗
也是算安全吧

jlj383940

没有实质性的危险行为，不加入特征也没关系
楼主投机了吧

saga3721

也许是延时出站，重启之后出站
利用IEXPLORE.EXE启动自身还不联网？

[ 本帖最后由 saga3721 于 2009-4-6 13:48 编辑 ]