同样过卡巴,nod32等主流!

crindy17908

看不懂啊，呵呵

lizonglin

金山杀！！！

fanvoice

kv2007 才点击下载就提示有病毒，直接干掉：

尤金卡巴斯基

Hello,


smss.exe - Trojan-Downloader.Win32.Geral.bvl

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Best regards, Ilya Tolstikhin
Virus analyst, Kaspersky Lab.

north_wolf

NOD32给杀掉了，根本过不了

葱葱.Com

谢谢尤金先生上报   

用事实说话

ll47548205

主要行为：调用CMD，估计目的是为了删除自身文件，在system32文件夹下创建，运行可执行文件，在C盘根目录创建并读取AUTORUN.INF，此动作重复了N+N遍，安装驱动pcidump.sys，在注册表服务项创建，删除，修改键值等行为

以下日志（有删减）


2009-08-14 16:43:06    结束/挂起进程      操作:阻止
进程路径:D:\新建文件夹\smss.exe
目标进程:C:\WINDOWS\system32\notepad.exe
触发规则:所有程序规则->全局禁运->*


2009-08-14 16:43:10    运行应用程序      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c taskkill.exe /im ekrn.exe /f
触发规则:高优先规则->cmd规则->*\cmd.exe


2009-08-14 16:43:17    运行应用程序      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c taskkill.exe /im egui.exe /f
触发规则:高优先规则->cmd规则->*\cmd.exe


2009-08-14 16:43:45    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\system32\ee10794593t.dll
触发规则:所有程序规则->系统关键位置规则->%WinDir%\*.dll


2009-08-14 16:43:48    运行应用程序      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\WINDOWS\system32\ee10794593t.dll testall
触发规则:所有程序规则->全局禁运->*


2009-08-14 16:43:49    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*


2009-08-14 16:43:49    读取文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*


2009-08-14 16:43:50    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*


2009-08-14 16:43:50    读取文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*


2009-08-14 16:43:51    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*



2009-08-14 16:43:57    读取文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*


2009-08-14 16:43:58    运行应用程序      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c sc config sharedaccess start= disabled
触发规则:高优先规则->cmd规则->*\cmd.exe


2009-08-14 16:43:58    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*



2009-08-14 16:43:58    读取文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*


2009-08-14 16:43:59    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\extext10807718t.exe
触发规则:所有程序规则->系统关键位置规则->%WinDir%\*.exe



2009-08-14 16:44:00    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\system32\drivers\pcidump.sys
触发规则:高优先规则->黑名单->*\pcidump.sys



2009-08-14 16:44:06    创建注册表值      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\PCIDump
注册表名称:DeleteFlag
触发规则:所有程序规则->保护服务规则->*\SYSTEM\*controlset*\Services\*


2009-08-14 16:44:06    删除注册表      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\PCIDump
注册表名称:[Key]
触发规则:所有程序规则->保护服务规则->*\SYSTEM\*controlset*\Services\*


2009-08-14 16:44:06    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\PCIDump
注册表名称:Start
触发规则:所有程序规则->保护服务规则->*\SYSTEM\*controlset*\Services\*


2009-08-14 16:44:06    删除注册表      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\PCIDump
注册表名称:[Key]
触发规则:所有程序规则->保护服务规则->*\SYSTEM\*controlset*\Services\*


2009-08-14 16:44:08    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*


2009-08-14 16:44:08    读取文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\AUTORUN.INF
触发规则:高优先规则->auturon规则->?:\autorun.*


2009-08-14 16:44:08    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\system32\scvhost.exe
触发规则:所有程序规则->系统关键位置规则->%WinDir%\*.exe


2009-08-14 16:44:08    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\system32\scvhost.exe
触发规则:所有程序规则->系统关键位置规则->%WinDir%\*.exe


2009-08-14 16:44:08    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:C:\WINDOWS\system32\scvhost.exe
触发规则:所有程序规则->系统关键位置规则->%WinDir%\*.exe


2009-08-14 16:44:09    创建文件      操作:阻止
进程路径:D:\新建文件夹\smss.exe
文件路径:D:\新建文件夹\_temp.bat
触发规则:所有程序规则->危险扩展名规则->?:\*.bat

qwer9909

[扫描路径] C:\Documents and Settings\Administrator\桌面\病毒样本.rar
C:\Documents and Settings\Administrator\桌面\病毒样本.rar - 压缩文件 RAR
>C:\Documents and Settings\Administrator\桌面\病毒样本.rar/smss.exe 已加壳，方式： UPACK
>>C:\Documents and Settings\Administrator\桌面\病毒样本.rar/smss.exe 已被病毒感染 ：  Win32.HLLW.Autoruner.7390
C:\Documents and Settings\Administrator\桌面\病毒样本.rar - 发现压缩文件中有被感染的对象
C:\Documents and Settings\Administrator\桌面\病毒样本.rar:Zone.Identifier - 确定