《未解之迷》程序高手帮忙分析一下这个穿还原的毒。

雨宫优子

汗～～居然还有扫描党><

zhangshu2005

放行底层磁盘后，有些动作就无法拦截了。
2009-5-31 10:51:32    底层磁盘操作    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]活动区域

2009-5-31 10:51:32    创建文件夹    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: C:\00073DA3
规则: [文件组]所有盘 -> [文件]?:\*

2009-5-31 10:51:32    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: Beep
规则: [应用程序]*

2009-5-31 10:51:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: C:\WINDOWS\system32\Drivers\Beep.sys
规则: [文件组]系统区重要文件 -> [文件]c:\windows\system32\*

2009-5-31 10:51:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: C:\WINDOWS\system32\Drivers\Beep.sys
规则: [文件组]系统区重要文件 -> [文件]c:\windows\system32\*

2009-5-31 10:51:32    安装驱动程序或服务    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: Beep
文件路径: C:\WINDOWS\system32\Drivers\Beep.sys
规则: [应用程序]*

2009-5-31 10:51:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: C:\WINDOWS\system32\Drivers\Beep.sys
规则: [文件组]系统区重要文件 -> [文件]c:\windows\system32\*

2009-5-31 10:51:32    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: C:\WINDOWS\system32\Drivers\Beep.sys
规则: [文件组]系统区重要文件 -> [文件]c:\windows\system32\*

2009-5-31 10:51:32    底层磁盘操作    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]活动区域

2009-5-31 10:51:32    底层磁盘操作    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]活动区域

2009-5-31 10:51:32    底层磁盘操作    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]活动区域

2009-5-31 10:51:32    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\setup\setup.exe
目标: C:\del_exe.bat
规则: [文件组]executables++ -> [文件]*; *.*bat*

以上阻止底层磁盘操作，MD的拦截日志。放行底层磁盘操作后，MD无日志，被绕过了？？

朱宏亮

路过学习下

hddu

2009-06-01 07:50:45    系统设备控制      操作:使用任务隔离区操作
进程路径:F:\setup\setup.exe
系统设备名称:\Device\NamedPipe\lsass
触发规则:应用程序规则->123->F:\setup\setup.exe

2009-06-01 07:50:45    系统设备控制      操作:使用任务隔离区操作
进程路径:F:\setup\setup.exe
系统设备名称:\Device\NamedPipe\lsass
触发规则:应用程序规则->123->F:\setup\setup.exe

2009-06-01 07:50:45    修改文件      操作:阻止并结束进程
进程路径:F:\setup\setup.exe
文件路径:C:\WINDOWS\system32\debug.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-06-01 07:50:45    系统设备控制      操作:使用任务隔离区操作
进程路径:F:\setup\setup.exe
系统设备名称:\Device\NamedPipe\lsass
触发规则:应用程序规则->123->F:\setup\setup.exe

2009-06-01 07:50:45    系统设备控制      操作:使用任务隔离区操作
进程路径:F:\setup\setup.exe
系统设备名称:\Device\NamedPipe\lsass
触发规则:应用程序规则->123->F:\setup\setup.exe

应该是系统设备控制问题吧？ 阻止系统设备控制操作应该拦截此毒吧？菜鸟一个，大家不要见笑。

yjwfdc

防这个毒不难，全阻止就可以了。

我是想知道放过低层磁盘后，什么原因使到运行每一个程序都会调用debug,可能是系统其中一个dll被改了。

左手

飘兄的EQ玩的比我等都要好，你都不知，我就更不知了~

这个是安装程序？

无法帮到飘兄，不好意思，分析不来~··



2009-06-01 16:07:30    修改文件      操作:阻止并结束进程
进程路径:E:\virus\setup.exe
文件路径:C:\WINDOWS\system32\debug.exe
触发规则:所有程序规则->FD:01…系统文件组->%SystemDrive%\*.exe

[ 本帖最后由 左手 于 2009-6-1 16:08 编辑 ]

hddu

退出EQ、杀软费尔实机测试，运行毒文件setup.exe，60秒后重启进入系统，出现运行费尔会运行debug之后再继续正常运行下去的情况。全盘扫描，杀出三个感染文件comctl32.dll 、debug.exe 、tree.com，重启，不能进入系统，原因是comctl32.dll 、debug.exe、 tree.com被清除，再次重启进入另一XP系统，复制comctl32.dll 、debug.exe 、tree.com三文件到原来的XP系统，重启，没有出现运行费尔会运行debug之后再继续正常运行下去的情况，再次全盘扫描，系统正常。

yjwfdc

原帖由 hddu 于 2009-6-1 19:50 发表
退出EQ、杀软费尔实机测试，运行毒文件setup.exe，60秒后重启进入系统，出现运行费尔会运行debug之后再继续正常运行下去的情况。全盘扫描，杀出三个感染文件comctl32.dll 、debug.exe 、tree.com，重启，不能进入系统 ...

好办法，我怎么想不到呢？
可能就是comctl32.dll被修改了。