我什么都不知道

strawman0719

居然是蠕虫。。。

无尽藏海

22:08:2009 11:05:18 SEARCHTASK "USER_DEFINED" started...
scan item: D:\virus\ko
File scanned: D:\virus\ko\01.exe - SIGNATURE FOUND "Trojan-Downloader.Win32.Hicy"
22:08:2009 11:05:18 SEARCHTASK "USER_DEFINED" FINISHED...
----------------------------------------------------
Directories scanned: 1
Files scanned: 1
Virus found: 1
----------------------------------------------------

悠柚

IObit Trojan.Dropper
FSCS Gen:Trojan.Heur.PT.cuW@bmasmng

wmcxdb

2009/8/22 11:44:23    创建新进程    允许
进程: f:\下载\ko\01.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c net stop wscsvc

2009/8/22 11:44:23    加载动态链接库    允许
进程: f:\下载\ko\01.exe
目标: c:\windows\system32\apphelp.dll

2009/8/22 11:44:23    创建新进程    允许
进程: f:\下载\ko\01.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c net stop SharedAccess

2009/8/22 11:44:23    创建新进程    允许
进程: f:\下载\ko\01.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c sc config sharedaccess start=disabled

2009/8/22 11:44:23    创建新进程    允许
进程: f:\下载\ko\01.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c cacls C:\Windows\system32 /e /p everyone:f

2009/8/22 11:44:23    创建文件    阻止
进程: f:\下载\ko\01.exe
目标: C:\Windows\system32\system.dll

2009/8/22 11:44:23    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\net.exe
命令行: net  stop wscsvc

2009/8/22 11:44:23    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\net.exe
命令行: net  stop SharedAccess

2009/8/22 11:44:23    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\sc.exe
命令行: sc  config sharedaccess start=disabled

2009/8/22 11:44:23    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\cacls.exe
命令行: cacls  C:\Windows\system32 /e /p everyone:f

hj5abc

复制自身到为autorun，释放driver.sys.
eset报的很准.

drweb
G:\ko\01.exe infected with Trojan.DownLoad.43182

六月の草

原帖由 spqwb 于 2009-8-22 09:24 发表
咖啡好像没有报毒！

最近感觉麦克菲很成问题，正常的软件报毒，病毒文件不报

我倒觉得mcafee最近样本区报的太多，不是他的风格

xyao

2009-8-22 19:02:09    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\my documents\01.exe
命令行: "C:\Documents and Settings\Administrator\My Documents\01.exe"
规则: [应用程序]*

2009-8-22 19:02:10    创建新进程    阻止
进程: c:\documents and settings\administrator\my documents\01.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c net stop wscsvc
规则: [应用程序]*

2009-8-22 19:02:11    创建新进程    阻止
进程: c:\documents and settings\administrator\my documents\01.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c net stop SharedAccess
规则: [应用程序]*

2009-8-22 19:02:12    创建新进程    阻止
进程: c:\documents and settings\administrator\my documents\01.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c sc config sharedaccess start=disabled
规则: [应用程序]*

2009-8-22 19:02:13    创建新进程    阻止
进程: c:\documents and settings\administrator\my documents\01.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c cacls C:\WINDOWS\system32 /e /p everyone:f
规则: [应用程序]*

2009-8-22 19:02:14    创建文件    阻止
进程: c:\documents and settings\administrator\my documents\01.exe
目标: C:\WINDOWS\system32\system.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32