刚中了个病毒，过很多杀毒软件

pil

刚中了个病毒，过很多杀毒软件，呵呵小红伞的过不了，卡巴等杀毒软件过了。。。发错地方了，我晕了。。。

[ 本帖最后由 pil 于 2009-6-24 18:28 编辑 ]

无聊的人

此乃病毒区，不能发样本，请扫份日志上来~

schumi小粉

看动作像是KillAV的货色

2009-06-24 19:00:37        应用程序保护(修改其它进程内存)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
目标进程:C:\WINDOWS\Explorer.EXE
2009-06-24 19:00:37        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\Sandbox\Administrator\DefaultBox\drive\C\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
2009-06-24 19:00:37        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\Sandbox\Administrator\DefaultBox\drive\C\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
2009-06-24 19:00:35        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\Sandbox\Administrator\DefaultBox\drive\C\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
2009-06-24 19:00:35        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\Sandbox\Administrator\DefaultBox\drive\C\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
2009-06-24 19:00:33        注册表保护(创建注册表值)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
注册表路径:HKEY_CURRENT_USER\machine\SYSTEM\CurrentControlSet\Services\IcyHeart
注册表名称:ImagePath
2009-06-24 19:00:33        注册表保护(创建注册表值)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
注册表路径:HKEY_CURRENT_USER\machine\SYSTEM\CurrentControlSet\Services\IcyHeart
注册表名称:ImagePath
2009-06-24 19:00:33        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c cacls C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ /e /p everyone:f
2009-06-24 19:00:33        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c cacls C:\WINDOWS\system32 /e /p everyone:f
2009-06-24 19:00:33        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c taskkill.exe egui.exe Jecmd /c
2009-06-24 19:00:33        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c taskkill.exe /im ekrn.exe /f
2009-06-24 19:00:33        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c sc config ekrn start=disabled
2009-06-24 19:00:33        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\Sandbox\Administrator\DefaultBox\drive\C\WINDOWS\system32\drivers\svchost.sys
2009-06-24 19:00:33        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\Sandbox\Administrator\DefaultBox\drive\C\WINDOWS\system32\svcHost.dll
2009-06-24 19:00:32        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\scvhost\scvhost.exe
文件路径:C:\Sandbox\Administrator\DefaultBox\user\current\桌面\新建文件夹\scvhost\scvhost.exe

[ 本帖最后由 schumi小粉 于 2009-6-24 19:13 编辑 ]

wptyh73hm

2009-6-24 19:09:23    创建文件    允许
进程: f:\program files\7-zip\7zfm.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\7zO7E.tmp\scvhost.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2009-6-24 19:09:27    设置文件隐藏属性    阻止
进程: f:\program files\7-zip\7zfm.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\7zO7E.tmp\scvhost.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2009-6-24 19:09:30    设置文件隐藏属性    阻止
进程: f:\program files\7-zip\7zfm.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\7zO7E.tmp\scvhost.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2009-6-24 19:09:39    创建新进程    允许
进程: f:\program files\7-zip\7zfm.exe
目标: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\7zO7E.tmp\scvhost.exe"
规则: [应用程序]*

2009-6-24 19:09:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\7zO7E.tmp\scvhost.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2009-6-24 19:09:54    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: C:\WINDOWS\system32\svcHost.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2009-6-24 19:10:01    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: C:\WINDOWS\system32\drivers\svchost.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2009-6-24 19:10:06    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c sc config ekrn start=disabled
规则: [应用程序]*

2009-6-24 19:10:09    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c taskkill.exe /im ekrn.exe /f
规则: [应用程序]*

2009-6-24 19:10:11    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c taskkill.exe egui.exe Jecmd /c
规则: [应用程序]*

2009-6-24 19:10:16    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c cacls C:\WINDOWS\system32 /e /p everyone:f
规则: [应用程序]*

2009-6-24 19:10:18    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c cacls C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ /e /p everyone:f
规则: [应用程序]*

2009-6-24 19:10:24    安装驱动程序或服务    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: IcyHeart
文件路径: C:\WINDOWS\system32\drivers\svchost.sys
规则: [应用程序]*

2009-6-24 19:10:27    启动驱动程序或服务    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
规则: [应用程序]*

2009-6-24 19:10:51    删除注册表项    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2009-6-24 19:10:56    修改其他进程的内存    阻止
进程: c:\documents and settings\administrator\local settings\temp\7zo7e.tmp\scvhost.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2009-6-24 19:11:12    删除文件    允许
进程: f:\program files\7-zip\7zfm.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\7zO7E.tmp\scvhost.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

runyon

2009-6-24 20:11:03        http://bbs.kafan.cn/attachment.p ... da&t=1245845426        TheWorld        处理错误: HEUR:Trojan.Win32.AntiAV

schumi小粉

看来判断没错，是killav的货色........

不会飞的鸟

试过了，可以过小A，红伞过不了

aerbeisi

IKARUS - T3SCAN V1.32.10.0 (WIN32)
         T3 V1.01.59
         Copyright (c) 2006 - 2009 by Ikarus Software.
         All rights reserved.

Signature-database from 25.6.2009 12:01:25 (Build: 72920)

e:\scvhost.rar:scvhost.exe - Signature 'Trojan.Win32.Antavmu' found
e:\scvhost.rar - Signature 'Trojan.Win32.Antavmu' found

        2 Files scanned
          (1 Archiv with 1 file)
        2 Signatures found
        0 Suspect code-parts found
        Used time: 0:00.078

yulhun

nod  miss

尤金卡巴斯基

2009/6/26 1:02:41        已清除        木马程序 Trojan.Win32.Antavmu.auz        G:\Temp\Virus\scvhost.rar/scvhost.exe