有新样本，系统反复注销进不去，想知道真实原因！

潜水队员

有人能告诉我中毒的准确原因吗？我机子上倒是没什么重要东西，就是最近老这样，有点郁闷。原文在这里：http://bbs.kafan.cn/thread-530148-1-1.html


刚才一生气开了EAV所有选项再去CS1.6生化危机了下，大概1－2个小时后，eav监控报了个木马变种，连续隔离了20来次，退出CS后，在C盘根目录下看见2个陌生的文件，应该也是病毒干下的，这次userinit.exe没被替换了，想不到玩CS也会中招......
新发现样本和部分截图：


[ 本帖最后由 潜水队员 于 2009-8-1 22:26 编辑 ]

主动防御

TO KL

lingbo110120

hs4814

反病毒引擎	版本	最后更新	扫描结果
a-squared	4.5.0.24	2009.07.31	Trojan.Win32.Malagent!IK
AhnLab-V3	5.0.0.2	2009.08.01	-
AntiVir	7.9.0.238	2009.07.31	TR/Crypt.PEPM.Gen
Antiy-AVL	2.0.3.7	2009.07.31	-
Authentium	5.1.2.4	2009.07.31	-
Avast	4.8.1335.0	2009.07.31	Win32:Trojan-gen {Other}
AVG	8.5.0.406	2009.07.31	VB.JIO
BitDefender	7.2	2009.08.01	-
CAT-QuickHeal	10.00	2009.07.30	(Suspicious) - DNAScan
ClamAV	0.94.1	2009.08.01	-
Comodo	1834	2009.08.01	-
DrWeb	5.0.0.12182	2009.08.01	-
eSafe	7.0.17.0	2009.07.30	Suspicious File
eTrust-Vet	31.6.6650	2009.08.01	-
F-Prot	4.4.4.56	2009.07.31	-
F-Secure	8.0.14470.0	2009.07.31	-
Fortinet	3.120.0.0	2009.08.01	PossibleThreat
GData	19	2009.08.01	Win32:Trojan-gen {Other}
Ikarus	T3.1.1.64.0	2009.07.31	Trojan.Win32.Malagent
Jiangmin	11.0.800	2009.08.01	-
K7AntiVirus	7.10.807	2009.07.31	Trojan.Win32.Malware.1
Kaspersky	7.0.0.125	2009.08.01	-
McAfee	5694	2009.07.31	Generic.dx!bhj
McAfee+Artemis	5694	2009.07.31	Generic.dx!bhj
McAfee-GW-Edition	6.8.5	2009.08.01	Heuristic.BehavesLike.Win32.Packed.A
Microsoft	1.4903	2009.08.01	-
NOD32	4295	2009.07.31	a variant of Win32/VB.OGF
Norman	6.01.09	2009.07.31	-
nProtect	2009.1.8.0	2009.08.01	-
Panda	10.0.0.14	2009.08.01	Trj/CI.A
PCTools	4.4.2.0	2009.07.31	-
Rising	21.40.44.00	2009.07.31	-
Sophos	4.44.0	2009.08.01	Mal/Behav-024
Sunbelt	3.2.1858.2	2009.07.31	-
Symantec	1.4.4.12	2009.08.01	-
TheHacker	6.3.4.3.375	2009.08.01	-
TrendMicro	8.950.0.1094	2009.07.31	PAK_Generic.001
VBA32	3.12.10.9	2009.08.01	Trojan.VB.Acid
ViRobot	2009.7.31.1863	2009.07.31	-
VirusBuster	4.6.5.0	2009.07.31	-

挪威的冬天

userinit.exe 被杀的典型症状

hddu

2009-08-01 22:18:15    修改文件      操作:阻止并结束进程
进程路径:E:\假冒userinit\userinit.exe
文件路径:C:\WINDOWS\system32\userinit.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

2009-08-01 22:18:37    修改文件      操作:阻止并结束进程
进程路径:E:\假冒userinit\userinit.exe
文件路径:C:\WINDOWS\system32\userinit.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

潜水队员

有新样本了。

hansyu

原帖由 潜水队员 于 2009-8-1 22:34 发表
有新样本了。

那个脚本运行之后把ctah解密生成enxjdwiv，而这个文件就是那个伪userinit.exe。

左手

直接根目录运行
厉害~

darreol

趋势PAK_Generic.001