华丽的全过.......

tgzw1680

测试毒眼不想竟然过期没提示......留下样本记录....

rok827

clean

winxp0286

回家拿EQ来分析一下.

kingmuro

过avast4.8

huangqian202

费尔动态防御报！

250662772

2009-05-06 13:35:45 文件保护(创建文件)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
文件路径:C:\windows\intermoni\InMonitor.exe



2009-05-06 13:35:45 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:InterMoni

2009-05-06 13:35:51 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:NetworkCheck1


2009-05-06 13:35:56 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{250E95D8-153D-418F-9242-A72BCABF8D65}
注册表名称:[Key]

2009-05-06 13:35:56 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{250E95D8-153D-418F-9242-A72BCABF8D65}\InprocServer32
注册表名称:[Key]

2009-05-06 13:35:56 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{250E95D8-153D-418F-9242-A72BCABF8D65}\ProgID
注册表名称:[Key]

2009-05-06 13:35:56 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{250E95D8-153D-418F-9242-A72BCABF8D65}\Programmable
注册表名称:[Key]

2009-05-06 13:35:56 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{250E95D8-153D-418F-9242-A72BCABF8D65}\TypeLib
注册表名称:[Key]

2009-05-06 13:35:56 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{250E95D8-153D-418F-9242-A72BCABF8D65}\VersionIndependentProgID
注册表名称:[Key]

2009-05-06 13:35:56 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_CLASSES_ROOT\1.0.0.1
注册表名称:[Key]

2009-05-06 13:35:56 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_CLASSES_ROOT\Flash 浏览器辅助插件
注册表名称:[Key]

2009-05-06 13:35:56 注册表保护(创建注册表值)     操作:使用隔离区操作
进程路径:C:\Documents and Settings\shaohui\桌面\70115[1].78\70115.78.exe
注册表路径:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{250E95D8-153D-418F-9242-A72BCABF8D65}
注册表名称:[Key]


创建到C盘的文件就是自身的源文件,所以就没必要上传生成物了.

[ 本帖最后由 250662772 于 2009-5-6 13:52 编辑 ]

wsmurderer

柴子

删除副本[和自身MD5完全一样的分身]
c:\windows\intermoni\InMonitor.exe
删除注册表写入的自启动
注册表键：HKCU\Software\Microsoft\Windows\CurrentVersion\Run\
注册表值：InterMoni 和NetworkCheck1
数据类型：REG_SZ
数据：c:\windows\intermoni\InMonitor.exe
搜索删除注册表其他位置[关键字InMonitor.exe]

搞定。。。。
裸奔的机器就是坚挺....

[ 本帖最后由 柴子 于 2009-5-6 14:21 编辑 ]

IVYGOD

过卡巴！！！

kingsheet

过卡巴