由于微软MPEG-2视频0day的漏洞，昨天中了毒。

szwzr

通过金山急救箱查出c:\windows\system32\userinit.exe为可疑项

sam.to

8/7/2009 14:08:03        Detected: Trojan-Downloader.Win32.Geral.ajb        C:\Documents and Settings\kato\桌面\userinit.rar/userinit.exe

aerbeisi

IKARUS - T3SCAN V1.32.10.0 (WIN32)
         T3 V1.01.64
         Copyright (c) 2006 - 2009 by Ikarus Software.
         All rights reserved.

Signature-database from 8.7.2009 04:09:41 (Build: 72997)

e:\userinit.rar:userinit.exe - Signature 'Trojan.Win32.Qhost' found
e:\userinit.rar - Signature 'Trojan.Win32.Qhost' found

        2 Files scanned
          (1 Archiv with 1 file)
        2 Signatures found
        0 Suspect code-parts found
        Used time: 0:00.171

schumi小粉

2009-07-08 14:14:39        注册表保护(修改注册表内容)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
2009-07-08 14:14:39        注册表保护(修改注册表内容)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
2009-07-08 14:14:39        注册表保护(修改注册表内容)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
2009-07-08 14:14:39        注册表保护(修改注册表内容)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
2009-07-08 14:14:37        应用程序保护(修改其它进程内存)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
目标进程:C:\WINDOWS\explorer.exe
2009-07-08 14:14:37        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c cacls "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\" /e /p everyone:f
2009-07-08 14:14:37        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c cacls C:\WINDOWS\system32 /e /p everyone:f
2009-07-08 14:14:37        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c sc config sharedaccess start= disabled
2009-07-08 14:14:36        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c net stop SharedAccess
2009-07-08 14:14:35        应用程序保护(运行应用程序)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c net stop wscsvc
2009-07-08 14:14:34        应用程序保护(修改其它进程内存)     操作:阻止
进程路径:C:\WINDOWS\explorer.exe
目标进程:C:\Documents and Settings\Administrator\桌面\新建文件夹\userinit\userinit.exe

xyao

userinit.exe - Win32/TrojanDownloader.Agent.OZH 特洛伊木马

szwzr

我用NOD32查出来就是这个毒

请看http://bbs.kafan.cn/thread-515230-1-1.html

欠妳緈諨

使用 G DATA AntiVirus 进行病毒检测
版本 20.0.2.0 (16.03.2009)
病毒特征库日期 06.07.2009
开始时间: 08.07.2009 14:42
引擎: 引擎 A (AVA 19.6322), 引擎 B (AVB 19.387)
高启发: 开启
文件: 开启
系统区域: 关闭
RootKits 检测: 关闭

检测选中目录和文件:
  S:\userinit.rar

项目: userinit.exe
        检查档案: S:\userinit.rar
        状态: 发现病毒
        病毒: Trojan.Downloader.Agent.ZAW (Engine A), Win32:Agent-RHJ [Trj] (Engine B)
检测执行时间: 08.07.2009 14:43
    已检测 1 个文件
    已发现 1 个病毒文件
    已发现 0 个可疑文件

hj5abc

Virus or unwanted program 'TR/Downloader.Gen' [trojan]

kkgh

费尔 Trojan.Bfjqje.fxym

dreams521