1x

幸福的猪猪

kaba heur ,to kill !

[ 本帖最后由 幸福的猪猪 于 2009-5-21 10:41 编辑 ]

nosferatu

Begin scan in 'C:\Documents and Settings\Administrator\桌面\heur.zip'
C:\Documents and Settings\Administrator\桌面\heur.zip
  [0] Archive type: ZIP
    --> TDDOWNLOAD/ha_free_setup.exe
      [1] Archive type: RSRC
      --> Object
        [DETECTION] Is the TR/Dldr.Toyall Trojan
      [DETECTION] Is the TR/Hijacker.Gen Trojan

Beginning disinfection:
C:\Documents and Settings\Administrator\桌面\heur.zip
    [NOTE]      The file was deleted!


End of the scan: 星期四 2009年5月21日  06:41
Used time: 00:00 Minute(s)

The scan has been done completely.

      0 Scanned directories
      3 Files were scanned
      2 Viruses and/or unwanted programs were found
      0 Files were classified as suspicious
      1 files were deleted
      0 Viruses and unwanted programs were repaired
      0 Files were moved to quarantine
      0 Files were renamed
      0 Files cannot be scanned
      1 Files not concerned
      1 Archives were scanned
      0 Warnings
      1 Notes

kingsheet

卡巴不报

einnawy

费尔 Trojan.Cap951922.gzcy

左手

2009-05-21 10:07:52    创建文件      操作:阻止
进程路径:E:\virus\TDDOWNLOAD\ha_free_setup.exe
文件路径:C:\WINDOWS\Debug\UserMode\userenv.log
触发规则:所有程序规则->FD:02…有关文件创建修改组（含黑名单）->%windir%\*


2009-05-21 10:07:52    创建文件      操作:阻止并结束进程
进程路径:E:\virus\TDDOWNLOAD\ha_free_setup.exe
文件路径:C:\Documents and Settings\cc\Local Settings\Temp\pentxt.exe
触发规则:所有程序规则->FD:01…系统文件组->%SystemDrive%\*.exe

sunshine2009

红伞，蜘蛛，AVG均清除

sunshine2009

文件 heur.zip 接收于 2009.05.21 04:27:28 (CET)


结果: 18/39 (46.16%)


反病毒引擎 版本 最后更新 扫描结果
a-squared 4.0.0.101 2009.05.21 Trojan-Dropper.Win32.Mudrop!IK
AhnLab-V3 5.0.0.2 2009.05.20 -
AntiVir 7.9.0.168 2009.05.20 TR/Hijacker.Gen
Antiy-AVL 2.0.3.1 2009.05.20 -
Authentium 5.1.2.4 2009.05.20 W32/Dropper.gen8!Maximus
Avast 4.8.1335.0 2009.05.20 Win32:Bifrose-BFR
AVG 8.5.0.339 2009.05.21 Downloader.Generic8.ANJM
BitDefender 7.2 2009.05.21 -
CAT-QuickHeal 10.00 2009.05.20 -
ClamAV 0.94.1 2009.05.20 -
Comodo 1157 2009.05.08 -
DrWeb 5.0.0.12182 2009.05.20 -
eSafe 7.0.17.0 2009.05.19 -
eTrust-Vet 31.6.6514 2009.05.21 Win32/MistbindClick.A
F-Prot 4.4.4.56 2009.05.20 W32/Dropper.gen8!Maximus
F-Secure 8.0.14470.0 2009.05.20 -
Fortinet 3.117.0.0 2009.05.20 -
GData 19 2009.05.21 Win32:Bifrose-BFR  
Ikarus T3.1.1.49.0 2009.05.21 Trojan-Dropper.Win32.Mudrop
K7AntiVirus 7.10.739 2009.05.19 -
Kaspersky 7.0.0.125 2009.05.21 Trojan-Dropper.Win32.Mudrop.aet
McAfee 5621 2009.05.20 Generic Downloader.k
McAfee+Artemis 5621 2009.05.20 Generic Downloader.k
McAfee-GW-Edition 6.7.6 2009.05.21 Trojan.Hijacker.Gen
Microsoft 1.4701 2009.05.21 PWS:Win32/OnLineGames.NW
NOD32 4092 2009.05.20 -
Norman 6.01.05 2009.05.20 -
nProtect 2009.1.8.0 2009.05.20 -
Panda 10.0.0.14 2009.05.20 Trj/Multidropper.RBD
PCTools 4.4.2.0 2009.05.20 -
Prevx 3.0 2009.05.21 -
Rising 21.30.20.00 2009.05.20 -
Sophos 4.41.0 2009.05.21 Sus/ComPack-C
Sunbelt 3.2.1858.2 2009.05.20 -
Symantec 1.4.4.12 2009.05.21 Trojan.Dropper
TheHacker 6.3.4.1.328 2009.05.20 -
TrendMicro 8.950.0.1092 2009.05.20 PAK_Generic.006
VBA32 3.12.10.5 2009.05.21 -
ViRobot 2009.5.20.1743 2009.05.20 -









卡巴已经报了······

黑衣~魂

DR.WEB
TDDOWNLOAD\ha_free_setup.exe - infected with Trojan.Siggen.2240

Beloved

2009-5-21 17:41:24    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\comctl32.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\comctl32.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\uxtheme.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\msctf.dll
规则: [应用程序]*
2009-5-21 17:41:25    访问COM接口    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: {3C374A40-BAE4-11CF-BF7D-00AA006946EE} Microsoft Url History 服务
文件路径: %SystemRoot%\system32\shdocvw.dll
规则: [应用程序]*
2009-5-21 17:41:25    访问COM接口    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: {3C374A40-BAE4-11CF-BF7D-00AA006946EE} Microsoft Url History 服务
文件路径: %SystemRoot%\system32\shdocvw.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\wininet.dll
规则: [应用程序]*
2009-5-21 17:41:25    修改注册表值    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\china\Local Settings\Temporary Internet Files
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*
2009-5-21 17:41:25    修改注册表值    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\china\Cookies
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*
2009-5-21 17:41:25    修改注册表值    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\china\Local Settings\History
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\wsock32.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\rasapi32.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\sensapi.dll
规则: [应用程序]*
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\userenv.dll
规则: [应用程序]*
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件组]全局写保护组 -> [文件]c:\windows\*
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件组]全局写保护组 -> [文件]c:\windows\*
2009-5-21 17:41:25    修改注册表值    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件组]全局写保护组 -> [文件]c:\windows\*
2009-5-21 17:41:25    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件组]全局写保护组 -> [文件]c:\windows\*
2009-5-21 17:41:25    修改注册表值    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\china\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\mswsock.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\dnsapi.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\rasadhlp.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\hnetcfg.dll
规则: [应用程序]*
2009-5-21 17:41:25    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\wshtcpip.dll
规则: [应用程序]*
2009-5-21 17:41:25    访问网络    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: TCP [本机 : 1174] ->  [61.143.154.20 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]
2009-5-21 17:41:25    向其他进程发送消息    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\explorer.exe
消息: 0x0419
规则: [应用程序]*
2009-5-21 17:41:25    向其他进程发送消息    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\explorer.exe
消息: 0x0419
规则: [应用程序]*
2009-5-21 17:41:25    向其他进程发送消息    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\explorer.exe
消息: 0x0419
规则: [应用程序]*
2009-5-21 17:41:25    向其他进程发送消息    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\explorer.exe
消息: 0x0419
规则: [应用程序]*
2009-5-21 17:41:25    向其他进程发送消息    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\explorer.exe
消息: 0x0419
规则: [应用程序]*
2009-5-21 17:41:25    向其他进程发送消息    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\explorer.exe
消息: 0x0419
规则: [应用程序]*
2009-5-21 17:41:25    创建文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: C:\Documents and Settings\china\Local Settings\Temp\pentxt.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe
2009-5-21 17:41:25    创建文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: C:\Documents and Settings\china\Local Settings\Temp\game032.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe
2009-5-21 17:41:25    创建文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: C:\Documents and Settings\china\Local Settings\Temp\admin7ver0520.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe
2009-5-21 17:41:25    创建文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: C:\Documents and Settings\china\Local Settings\Temp\msgood.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe
2009-5-21 17:41:25    创建文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: C:\Documents and Settings\china\Local Settings\Temp\sxsaas.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe
2009-5-21 17:41:27    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\wkssvc
2009-5-21 17:41:27    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\wkssvc
2009-5-21 17:41:27    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\wkssvc
2009-5-21 17:41:27    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\wkssvc
2009-5-21 17:41:28    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:28    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:28    修改注册表值    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: C:\Documents and Settings\china\My Documents
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*
2009-5-21 17:41:28    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\setupapi.dll
规则: [应用程序]*
2009-5-21 17:41:28    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:28    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:28    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:28    修改文件    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]命名管道 -> [文件]\device\namedpipe\lsarpc
2009-5-21 17:41:28    修改注册表值    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*
2009-5-21 17:41:28    修改注册表值    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\china\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*
2009-5-21 17:41:28    修改注册表值    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
值: C:\Documents and Settings\All Users\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*
2009-5-21 17:41:28    访问COM接口    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: {7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4} Security Manager
文件路径: C:\WINDOWS\system32\urlmon.dll
规则: [应用程序]*
2009-5-21 17:41:28    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\urlmon.dll
规则: [应用程序]*
2009-5-21 17:41:28    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\apphelp.dll
规则: [应用程序]*
2009-5-21 17:41:28    创建新进程    阻止
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c del E:\Virus\heur\TDDOWN~1\HA_FRE~1.EXE > nul
规则: [应用程序组]限制运行 -> [应用程序]* -> [子应用程序]c:\windows\system32\cmd.exe
2009-5-21 17:41:28    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\windows\system32\msctfime.ime
规则: [应用程序]*
2009-5-21 17:41:31    加载动态链接库    允许
进程: e:\virus\heur\tddownload\ha_free_setup.exe
目标: c:\program files\vmware\vmware tools\hook.dll
规则: [应用程序]*

狂舞的猪

江民杀