已上报江民 1

xxl

DR.WEB
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\VMFALUPA\1[1].zip\1.exe - 可能已感染 DLOADER.Trojan

压缩包中有被感染的对象

q4068586

已检测: Trojan.Win32.KillAV!IK

popfather

瑞星主防拦截

主动防御

Kaspersky Lab
拒绝访问
无法返回请求的网页

试图访问的网页：

http://bbs.kafan.cn/attachment.php?aid=
591842&k=7fc315ad272782f6b98cd9aff701427
b&t=1248931395

被以下病毒感染：Trojan-Dropper.Win32.Agent.ayni


创建日期：
2009/7/30 13:23:27
Kaspersky Lab

xyao

2009-7-30 16:04:47    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\my documents\1\1.exe
命令行: "C:\Documents and Settings\Administrator\My Documents\1\1.exe"
规则: [应用程序]*

2009-7-30 16:04:50    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:04:51    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:04:52    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\mspmsnsv.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:04:53    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:04:54    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\upnphost.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:04:54    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:04:55    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:04:56    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:04:56    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\mspmsnsv.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:04:57    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:05:00    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: COM+ Event System
文件路径: C:\WINDOWS\system32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-30 16:05:01    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\upnphost.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:05:01    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: SSDP Discovery Service
文件路径: C:\WINDOWS\system32\svchost.exe -k LocalService
规则: [应用程序]*

2009-7-30 16:05:02    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: Network Connections
文件路径: C:\WINDOWS\System32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-30 16:05:03    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: Network Location Awareness (NLA)
文件路径: C:\WINDOWS\system32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-30 16:05:04    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: Telephony
文件路径: C:\WINDOWS\System32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-30 16:05:05    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: Themes
文件路径: C:\WINDOWS\System32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-30 16:05:05    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: Cryptographic Services
文件路径: C:\WINDOWS\system32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-30 16:05:06    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-30 16:05:08    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: Task Scheduler
文件路径: C:\WINDOWS\System32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-30 16:05:10    创建文件    阻止
进程: c:\documents and settings\administrator\my documents\1\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\DelLog.bat
规则: [文件组]document阻止 -> [文件]c:\documents and settings\administrator\local settings\temp; *.bat

悠柚

iobit miss

angir

程序：
F:\过微点\1.EXE
木马程序生成以下文件：
1) C:\WINDOWS\SYSTEM32\DLLCACHE\APPMGMTS.DLL
2) C:\WINDOWS\SYSTEM32\APPMGMTS.DLL
是否删除木马程序及其衍生物?

还有几个生成物在后来单独报了

lingbo110120

utfhv

原帖由 zenvi 于 2009-7-30 11:46 发表
我运行了，江民主防没反应

你还爽了，我的影子直接蓝屏了，好干脆好快

328397663

原帖由 幸福的猪猪 于 2009-7-30 06:02 发表
to kaspersky kill。

Hello,

New malicious software was found in the attached file. Its detection will be included in the next update.
Thank you for your help.

Trojan-Dropper.Win32.Agent.ayni

这是哪位工程师回复的哦,又没说文件名