e1.exe带来的userinit.exe，卡巴不报

黑衣~魂

TO DW

wcj20236

微点杀：程序：
C:\DOCUMENTS AND SETTINGS\越过那道坎\MY DOCUMENTS\USERINIT\USERINIT.EXE
木马程序生成以下文件：
1) C:\DOCUMENTS AND SETTINGS\越过那道坎\LOCAL SETTINGS\TEMPORARY INTERNET FILES\CONTENT.IE5\EWVXNHY6\L1[1].EXE
2) C:\DOCUMENTS AND SETTINGS\越过那道坎\LOCAL SETTINGS\TEMPORARY INTERNET FILES\CONTENT.IE5\K6STBRH1\L2[1].EXE
3) C:\DOCUMENTS AND SETTINGS\越过那道坎\LOCAL SETTINGS\TEMP\GAMEPATCH.DLL
是否删除木马程序及其衍生物?

smallyou93

by，这是死牛

1. http://g.qv778.com/01/fz.txt

复制代码

1. 
   
2. 1:http://u8.wgcn8.com/sb/ok.exe
   
3. 1:http://u1.wgcn8.com/la/L1.exe
   
4. 1:http://u1.wgcn8.com/la/L2.exe
   
5. 1:http://u1.wgcn8.com/la/L4.exe
   
6. 1:http://u1.wgcn8.com/la/L7.exe
   
7. 1:http://u1.wgcn8.com/la/L6.exe
   
8. 1:http://u3.wgcn8.com/lm/S8.exe
   
9. 1:http://u3.wgcn8.com/lm/S1.exe
   
10. 1:http://u3.wgcn8.com/lm/S10.exe
    
11. 1:http://u3.wgcn8.com/lm/S2.exe
    
12. 1:http://u3.wgcn8.com/lm/S12.exe
    
13. 1:http://u3.wgcn8.com/lm/S14.exe
    
14. 1:http://u3.wgcn8.com/lm/S15.exe
    
15. 1:http://u3.wgcn8.com/lm/S16.exe
    
16. 1:http://u3.wgcn8.com/lm/S11.exe
    
17. 1:http://u7.wgcn8.com/cj/a1.exe
    
18. 1:http://u2.wgcn8.com/gz/G1.exe
    
19. 1:http://u2.wgcn8.com/gz/G5.exe
    
20. 1:http://u2.wgcn8.com/gz/G4.exe
    
21. 1:http://u2.wgcn8.com/gz/G39.exe
    
22. 1:http://u2.wgcn8.com/gz/G33.exe
    
23. 1:http://u2.wgcn8.com/gz/G25.exe
    
24. 1:http://u2.wgcn8.com/gz/G35.exe
    
25. 1:http://u2.wgcn8.com/gz/G37.exe
    
26. 1:http://u2.wgcn8.com/gz/G15.exe
    
27. 1:http://u2.wgcn8.com/gz/G9.exe
    
28. 1:http://u2.wgcn8.com/gz/G24.exe
    
29. 1:http://u2.wgcn8.com/gz/G21.exe
    
30. 1:http://u2.wgcn8.com/gz/G29.exe
    
31. 1:http://u2.wgcn8.com/gz/G23.exe
    
32. 1:http://u2.wgcn8.com/gz/G22.exe
    
33. 1:http://u4.wgcn8.com/gb/B7.exe
    
34. 1:http://u9.wgcn8.com/cj/a2.exe
    
35. 1:http://u9.wgcn8.com/cj/a10.exe
    
36. 1:http://u9.wgcn8.com/cj/a6.exe
    
37. 1:http://u7.wgcn8.com/cj/a9.exe
    
38. 1:http://u7.wgcn8.com/cj/csj.exe
    
39. 1:http://u7.wgcn8.com/cj/a8.exe
    
40. 1:http://u8.wgcn8.com/sb/01.exe
    
41. 1:http://u9.wgcn8.com/cj/sb.exe
    

复制代码

[ 本帖最后由 smallyou93 于 2009-4-10 12:15 编辑 ]

kafan-1

卡巴当然不报，那个有签名的，虽然签名无效

smallyou93

哈

这真有趣哦

一上来就调用cmd

父级进程：
   路径： C:\Documents and Settings\smallyou93\桌面\userinit.exe
   PID: 1884
子级进程：
   路径： C:\WINDOWS\system32\cmd.exe
   信息： Windows Command Processor (Microsoft Corporation)
   命令行：cmd /c cacls C:\WINDOWS\system32 /e /p everyone:f

父级进程：
   路径： C:\Documents and Settings\smallyou93\桌面\userinit.exe
   PID: 1884
子级进程：
   路径： C:\WINDOWS\system32\cmd.exe
   信息： Windows Command Processor (Microsoft Corporation)
   命令行：cmd /c cacls C:\WINDOWS\system32 /e /p everyone:f

Sebastian

原帖由 smallyou93 于 2009-4-10 12:10 发表
by，这是死牛http://g.qv778.com/01/fz.txt
1:http://u8.wgcn8.com/sb/ok.exe
1:http://u1.wgcn8.com/la/L1.exe
1:http://u1.wgcn8.com/la/L2.exe
1:http://u1.wgcn8.com/la/L4.exe
1:http://u1.wgcn8.com/la/L ...

清空
44 Files were scanned
43 Viruses and/or unwanted programs were found

那年花儿

http://g.qv778.com/host.txt       普通木马下载器

jlj383940

扫描报告
2009年4月10日 16:19:29 - 16:19:34

计算机名称: JLJ02
扫描类型: 扫描目标
目标: F:\下载\userinit.rar
结果: 找到 1 恶意软件
Trojan-Downloader.Win32.Agent.bqwv (病毒)
F:\下载\userinit.rar\userinit.exe



统计信息
已扫描:
文件: 2
未扫描: 0
结果:
病毒: 1
间谍软件: 0
可疑项目: 0
危险软件: 0
操作:
已杀毒: 0
已重命名: 0
删除: 0
已隔离: 0
失败: 0
启动扇区:
已扫描: 0
受感染: 0
可疑项目: 0
已杀毒: 0

选项
定义版本:
病毒: 2009-04-10_02
间谍软件: 2009-04-10_02
扫描引擎:
F-Secure AVP: 7.00.171, 2009-04-10
F-Secure Hydra: 3.08.9080, 2009-04-10
扫描选项:
扫描所有文件
扫描内部存档
操作:
病毒: 隔离和删除
间谍软件: 隔离和删除

jlj383940

自家引擎F-Secure Hydra的功力

尤金卡巴斯基

2009/4/10 23:59:28        已清除        木马程序 Trojan-Downloader.Win32.Agent.bqwv        G:\Temp\Virus\userinit.rar/userinit.exe