被重复感染达600多次的文件，测试看看你的杀软会不会变成Feedback（杀毒死循环）……

六月の草

原帖由 caddd5 于 2009-7-28 18:22 发表
用迅雷会变MD5吧。。还是普通下载好。。。
红伞 还真是有点骄傲。

红伞是把整个文件删除？还是清除了病毒？

hddu

2009-07-28 18:22:44    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\WORK.scr
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Client"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:48    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\WORK.scr
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Server"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:48    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\email.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Client"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:49    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\install.com
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Client"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:50    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\WORK.scr
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Rising Realtime Monitor Service"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:50    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\email.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Server"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:51    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\install.com
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Server"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:52    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\PassWord.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Client"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:52    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\email.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Rising Realtime Monitor Service"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:52    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\setup.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Client"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:53    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\install.com
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Rising Realtime Monitor Service"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:53    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\PassWord.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Server"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:54    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\setup.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Symantec AntiVirus Server"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:54    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\PassWord.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Rising Realtime Monitor Service"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:54    运行应用程序      操作:阻止
进程路径:E:\Sample\Sample\setup.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Rising Realtime Monitor Service"
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2009-07-28 18:22:56    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\WORK.scr
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:56    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\WORK.scr
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:57    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\email.exe
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:57    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\email.exe
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:57    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\install.com
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe
2009-07-28 18:22:57    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\install.com
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:58    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\PassWord.exe
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:58    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\PassWord.exe
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:58    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\setup.exe
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:58    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\setup.exe
文件路径:C:\WINDOWS\system32\hxdef.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:58    创建文件      操作:阻止并结束进程
进程路径:E:\Sample\Sample\setup.exe
文件路径:C:\WINDOWS\system32\Serverx.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-07-28 18:22:58    创建注册表值      操作:阻止并结束进程
进程路径:E:\Sample\Sample\setup.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:Serverx
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

tzxy

原帖由 caddd5 于 2009-7-28 18:22 发表
用迅雷会变MD5吧。。还是普通下载好。。。
红伞 还真是有点骄傲。

勾选了原始地址的

caddd5

文件删除。
我这老爷机都不带卡一下的。。。
带AVIRA来毒区真是不错。。

六月の草

原帖由 tzxy 于 2009-7-28 18:25 发表

勾选了原始地址的

我1楼样本下载提供的那个链接是支持下载软件下载的，可以放心

IllusionWing

UGuard X2 Code Mystery
添加个清除规则就能清除了…不过卡了十分钟

cmscarl

mcafee8.7直接干掉病毒

tzxy

查询编号：RS20090728182729546484
文件名称：Sample.rar
文件MD5：2647D6F3F180E10E613B4360D732FE49
文件状态：分析中

六月の草

原帖由 caddd5 于 2009-7-28 18:26 发表
文件删除。
我这老爷机都不带卡一下的。。。
带AVIRA来毒区真是不错。。

文件删除估计是没事的，问题是清毒的时候有问题，因为600次感染，本来可以清除的病毒一次次地清除不干净才会造成杀毒死循环的

所以像是防御或者删文件就直接做掉了，要是想恢复无毒文件，清毒，就会成为死循环

你可以查看这图显示这个病毒名字瑞星是可以清除成功的，不过在清除的时候因为感染次数过多不能清除干净完成，就循环了……（如果选择删除染毒文件应该就没有这个问题了！）

六月の草

手真快，让大家再玩玩呗~