为了给TDSS找款壳却下到一个毒，差点中标（第2次更新）

显示全部楼层 · 发表于 2009-4-12 16:59:25

还好是在沙盘下运行的，要不然我就得陪某大大一起中毒了

貌似有连网行为，不过我不管那么多直接通过沙盘关了

卡巴全MISS，请上报…………

这东西居然也会更新

[ 本帖最后由 sbbdms 于 2009-4-18 18:25 编辑 ]

显示全部楼层 · 发表于 2009-4-12 17:00:37

先上报KV09咯

显示全部楼层 · 发表于 2009-4-12 17:02:45

伞杀

显示全部楼层 · 发表于 2009-4-12 17:03:06

--> setup.exe
   [1] Archive type: RSRC
   [DETECTION] Is the TR/Dropper.Gen Trojan
--> tjacn.exe
   [1] Archive type: RSRC
   [DETECTION] Contains HEUR/Malware suspicious code

显示全部楼层 · 发表于 2009-4-12 17:04:05

2009-04-12 17:04:14 修改文件    操作:阻止
进程路径:E:\setup\setup.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk
触发规则:所有程序规则->Documents and Settings_1->?:\Documents and Settings\*\Application Data\*.lnk

2009-04-12 17:04:15 创建文件    操作:阻止
进程路径:E:\setup\setup.exe
文件路径:C:\WINDOWS\bbglf.exe
触发规则:所有程序规则->WINDOWS_2->%windir%\*.exe

2009-04-12 17:04:15 创建文件    操作:阻止
进程路径:E:\setup\setup.exe
文件路径:C:\WINDOWS\bbglf.exe
触发规则:所有程序规则->WINDOWS_2->%windir%\*.exe

2009-04-12 17:04:15 创建文件    操作:阻止
进程路径:E:\setup\setup.exe
文件路径:C:\WINDOWS\bbglf.exe
触发规则:所有程序规则->WINDOWS_2->%windir%\*.exe

2009-04-12 17:04:26 运行应用程序    操作:阻止并结束进程
进程路径:E:\setup\tjacn.exe
文件路径:C:\WINDOWS\system32\taskkill.exe
命令行:/f /pid 304
触发规则:所有程序规则->系统程序_黑名单->%windir%\system32\taskkill.exe

显示全部楼层 · 发表于 2009-4-12 17:05:25

TO DW

显示全部楼层 · 发表于 2009-4-12 17:27:06

Warning

--------------------------------------------------------------------------------

In order not to compromise your security, this page will not be accessed

A virus or unwanted program has been detected
in the HTTP data on the requested page.

--------------------------------------------------------------------------------

Requested URL: http://bbs.kafan.cn/attachment.p ... 51&t=1239528412
Information Is the TR/Dropper.Gen Trojan

--------------------------------------------------------------------------------

Generated by AntiVir WebGuard 9.0.3.0, AVE 8.2.0.138, VDF 7.1.3.42

显示全部楼层 · 发表于 2009-4-12 17:29:15

过卡巴

显示全部楼层 · 发表于 2009-4-12 17:40:51

2009-4-12 17:40:30 修改注册表值阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu\{871C5380-42A0-1069-A2EA-08002B30309D}
值: 0x00000001(1)
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\*

2009-4-12 17:40:30 修改注册表值阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel\{871C5380-42A0-1069-A2EA-08002B30309D}
值: 0x00000001(1)
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\*

2009-4-12 17:40:30 创建文件阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: C:\WINDOWS\ivdhg.exe
规则: [文件组]关系到系统启动运行的文件_阻止建改删 -> [文件]c:\windows\*

2009-4-12 17:40:30 创建文件阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: C:\WINDOWS\ivdhg.exe
规则: [文件组]关系到系统启动运行的文件_阻止建改删 -> [文件]c:\windows\*

2009-4-12 17:40:30 创建文件阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: C:\WINDOWS\ivdhg.exe
规则: [文件组]关系到系统启动运行的文件_阻止建改删 -> [文件]c:\windows\*

2009-4-12 17:40:47 创建新进程阻止并结束进程
进程: c:\documents and settings\administrator\桌面\tjacn.exe
目标: c:\windows\system32\taskkill.exe
命令行: taskkill /f /pid 0
规则: [应用程序]* -> [子应用程序]c:\windows\system32\taskkill.exe

把我的IE图标给删除了，创建了一个带参数的快捷方式
只好加上了这个注册表保护了

显示全部楼层 · 发表于 2009-4-12 18:49:16

我不介意你陪我一起中毒

[病毒样本] 为了给TDSS找款壳却下到一个毒，差点中标（第2次更新）

本帖子中包含更多资源

评分