视频.exe

显示全部楼层 · 发表于 2009-5-31 14:55:04

呵呵，又是个骗人的东东。

MFCS没反应！

显示全部楼层 · 发表于 2009-5-31 14:58:57

to Sophos

显示全部楼层 · 发表于 2009-5-31 15:01:04

是clean？

Antivirus Version Last Update Result
a-squared 4.0.0.101 2009.05.30 -
AhnLab-V3 5.0.0.2 2009.05.29 -
AntiVir 7.9.0.180 2009.05.30 -
Antiy-AVL 2.0.3.1 2009.05.31 -
Authentium 5.1.2.4 2009.05.30 -
Avast 4.8.1335.0 2009.05.30 -
AVG 8.5.0.339 2009.05.30 -
BitDefender 7.2 2009.05.31 -
CAT-QuickHeal 10.00 2009.05.29 -
ClamAV 0.94.1 2009.05.30 -
Comodo 1220 2009.05.30 -
DrWeb 5.0.0.12182 2009.05.29 -
eSafe 7.0.17.0 2009.05.27 -
eTrust-Vet 31.6.6530 2009.05.30 -
F-Prot 4.4.4.56 2009.05.30 -
F-Secure 8.0.14470.0 2009.05.30 -
Fortinet 3.117.0.0 2009.05.31 -
GData 19 2009.05.31 -
Ikarus T3.1.1.57.0 2009.05.31 -
K7AntiVirus 7.10.749 2009.05.29 -
Kaspersky 7.0.0.125 2009.05.31 -
McAfee 5631 2009.05.30 -
McAfee+Artemis 5631 2009.05.30 -
McAfee-GW-Edition 6.7.6 2009.05.29 -
Microsoft 1.4701 2009.05.31 -
NOD32 4117 2009.05.30 -
Norman 6.01.05 2009.05.29 -
nProtect 2009.1.8.0 2009.05.31 -
Panda 10.0.0.14 2009.05.30 -
PCTools 4.4.2.0 2009.05.30 -
Prevx 3.0 2009.05.31 -
Rising 21.31.60.00 2009.05.31 -
Sophos 4.42.0 2009.05.31 -
Sunbelt 3.2.1858.2 2009.05.30 -
Symantec 1.4.4.12 2009.05.31 -
TheHacker 6.3.4.3.334 2009.05.29 -
TrendMicro 8.950.0.1092 2009.05.29 -
VBA32 3.12.10.6 2009.05.31 -
ViRobot 2009.5.29.1761 2009.05.29 -
VirusBuster 4.6.5.0 2009.05.30 -

显示全部楼层 · 发表于 2009-5-31 15:12:07

呵呵，有可能是clean哦

不过它似乎有释放驱动和dll到system32路径下的行为，并且有修改IE设置，估计不是好东西

显示全部楼层 · 发表于 2009-5-31 15:20:28

不Clean 貌似Rootkit

安装个iofilter.sys驱动
Sophos: HIPS/FileMod-005

显示全部楼层 · 发表于 2009-5-31 15:21:30

奇怪看出我的是虚拟机了貌似每运行啊没反应

显示全部楼层 · 发表于 2009-5-31 15:36:24

to kaba ,avira,kill !

显示全部楼层 · 发表于 2009-5-31 15:58:44

有反应了

2009-05-31 15:51:48 应用程序保护(加载驱动程序)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\视频.exe
驱动路径:C:\WINDOWS\system32\drivers\iofilter.sys
2009-05-31 15:51:48 文件保护(创建文件)    操作:阻止并结束进程
进程路径:C:\Documents and Settings\Administrator\桌面\视频.exe
文件路径:C:\WINDOWS\system32\drivers\iofilter.sys
2009-05-31 15:51:48 注册表保护(创建注册表值)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\视频.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\iofilter
注册表名称:[Key]
2009-05-31 15:51:48 注册表保护(创建注册表值)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\视频.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\iofilter
注册表名称:[Key]

显示全部楼层 · 发表于 2009-5-31 16:54:23

卡7不错
通过安装一个驱动程序，企图对系统进行完全访问。从文件C:\WINDOWS\system32\drivers\iofilter.sys写入系统注册表键值。
CreateFile       C:\WINDOWS\system32\drivers\iofilter.sys
ModifyRegValue       \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\iofilter\Start
ModifyRegValue       \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\iofilter\Type
ModifyRegValue       \REGISTRY\MACHINE\SOFTWARE\Microsoft\Internet Explorer\Security\C
ModifyRegValue       \REGISTRY\MACHINE\SOFTWARE\Microsoft\Internet Explorer\Security\S

[ 本帖最后由 saga3721 于 2009-5-31 17:01 编辑 ]

显示全部楼层 · 发表于 2009-5-31 18:24:19

呵呵，总之这个东西必然不是好东西。有加驱，有释放dll到system32，有修改IE设置~~~~
不过居然过了所有杀软的扫描，看来这东西含金量挺高！

[可疑文件] 视频.exe

本帖子中包含更多资源

回复 1楼 jpzy 的帖子

本帖子中包含更多资源