installb.com

shadowmin

悠柚

费尔 在线扫描 它是一个“加壳程序”

xyao

RIS2010



2009-7-31 10:39:18    创建文件    允许
进程: c:\documents and settings\administrator\my documents\installb\installb.com
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\installb.com
规则: [文件组]所有执行文件 -> [文件]*; *.com

2009-7-31 10:39:21    创建新进程    允许
进程: c:\documents and settings\administrator\my documents\installb\installb.com
目标: c:\documents and settings\administrator\local settings\temp\installb.com
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\installb.com"
规则: [应用程序]*

2009-7-31 10:39:26    创建新进程    阻止
进程: c:\documents and settings\administrator\my documents\installb\installb.com
目标: c:\documents and settings\administrator\local settings\temp\3.tmp
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\3.tmp"
规则: [应用程序]*

2009-7-31 10:39:28    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\installb.com
目标: C:\WINDOWS\system32\braviax.exe
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-31 10:39:29    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\installb.com
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\braviax
值: C:\WINDOWS\system32\braviax.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2009-7-31 10:39:30    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\installb.com
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\braviax
值: C:\WINDOWS\system32\braviax.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2009-7-31 10:39:32    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\installb.com
目标: C:\WINDOWS\system32\dllcache\figaro.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2009-7-31 10:39:33    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\installb.com
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\WINDOWS\system32\dllcache\figaro.sys \??\C:\WINDOWS\system32\drivers\beep.sys
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2009-7-31 10:39:35    注销、关机或重新启动系统    阻止
进程: c:\documents and settings\administrator\local settings\temp\installb.com
规则: [应用程序]*

主动防御

KIS2010 巧妙的报壳了。。。。。。
Packed.Win32.Krap.r

Palkia

z2665

2009/7/31        11:19:08        未采取操作         z2665        ODS        C:\Users\z2665\Desktop\installb.rar\INSTALLB.COM        Artemis!F421EC4ABEEC (特洛伊)

左手

2009-07-31 11:41:30    创建文件      操作:阻止并结束进程
进程路径:E:\Data\installb.com
文件路径:E:\Local Settings\Temp\installb.com
触发规则:所有程序规则->FD:02…文件创建修改规则->*\*.com
====
pluto的规则
2009-07-31 11:44:56    创建文件      操作:允许
进程路径:E:\Local Settings\Temp\installb.com
文件路径:C:\WINDOWS\system32\braviax.exe
触发规则:所有程序规则->系统文件夹写保护->%windir%\*.exe*

2009-07-31 11:44:56    创建文件      操作:阻止并结束进程
进程路径:E:\Local Settings\Temp\installb.com
文件路径:C:\WINDOWS\system32\dllcache\figaro.sys
触发规则:所有程序规则->系统文件夹写保护->%windir%\system32\dllcache\*.*

2009-07-31 11:45:17    创建文件      操作:允许
进程路径:E:\Local Settings\Temp\1C.tmp
文件路径:C:\phdtsk.exe
触发规则:所有程序规则->重要文件->*.exe

[ 本帖最后由 左手 于 2009-7-31 13:22 编辑 ]

kav2046

TO Avira!

xxl

Kaspersky Lab
拒绝访问
无法返回请求的网页

试图访问的网页：

http://bbs.kafan.cn/attachment.php?aid=
592652&k=08c81df06861e5821997cb0015aff04
a&t=1249012598

被以下病毒感染：Packed.Win32.Krap.r



创建日期：
2009-7-31 11:56:50
Kaspersky Lab

失落的手链

瑞星2010
Trojan.Win32.Generic.11EBA4B3