大家看看

英仔

剛中了個毒,手工清除掉大部份生成物,以為已經全清掉,但不斷生成一些生成物,由於沒用hips,只用一個文件管理器的東西,由於是英文,所以都不太用好,但發現這個倝件分析到父進程名為atray,心想好像是安天的文件,應該不可能,沒有理他,但生成物手殺一次又再生成,無奈之際把這個文件上載到Virustotal~
發現
GData 19 2009.08.21 Win32:Unruy-C  
McAfee-GW-Edition 6.8.5 2009.08.21 Heuristic.BehavesLike.Win32.Trojan.H
McAfee+Artemis 5715 2009.08.20 Suspect-29!9EC6FB877188
Avast 4.8.1335.0 2009.08.20 Win32:Unruy-C
Panda 10.0.0.14 2009.08.21 Suspicious file

Palkia

rs 0

尤金卡巴斯基

To KL

失落的手链

瑞星2010

查询编号：RS20090824231521187733 文件名称：ATray.rar 文件MD5：8FBA8BC76D1B9A7B853AE020676A74A0 文件状态：压缩文件，包含1个文件 文件名 MD5 状态 病毒名称 解决版本号 ATray.exe 9EC6FB877... 安全文件

xueyao_zhjyl

此毒 一般般啊

yjwfdc

2009.8.25强毒，过小红伞，实机运行。
想替换输入法设置程序
2009-08-25 09:33:04    创建文件      操作:允许
进程路径:F:\aaa\样本\ATray\ATray.exe
文件路径:C:\windows\system32\ctfmon .exe
2009-08-25 09:33:04    删除文件      操作:阻止
进程路径:F:\aaa\样本\ATray\ATray.exe
文件路径:C:\windows\system32\ctfmon.exe
2009-08-25 09:33:05    修改文件      操作:阻止
进程路径:F:\aaa\样本\ATray\ATray.exe
文件路径:C:\windows\system32\ctfmon.exe
修改防毒软件
2009-08-25 09:33:31    创建文件      操作:阻止
进程路径:F:\aaa\样本\ATray\ATray.exe
文件路径:C:\program files\avira\antivir personaledition classic\avgnt.exe" \min
修改还原软件
2009-08-25 09:33:46    创建文件      操作:阻止
进程路径:F:\aaa\样本\ATray\ATray.exe
文件路径:C:\program files\goldensoft\recovery genius\winnt\hddgmon.exe"
2009-08-25 09:33:49    创建文件      操作:阻止
进程路径:F:\aaa\样本\ATray\ATray.exe
文件路径:C:\program files\adobe\acrotray.exe
连网下载
2009-08-25 09:33:49    删除注册表      操作:允许
进程路径:F:\aaa\样本\ATray\ATray.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
注册表名称:ProxyOverride
2009-08-25 09:33:56    修改注册表内容      操作:允许
进程路径:F:\aaa\样本\ATray\ATray.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
隐藏运行ie
2009-08-25 09:34:01    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
命令行:-Embedding
ie连网
2009-08-25 09:34:03    删除注册表      操作:允许
进程路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
注册表名称:ProxyServer
2009-08-25 09:34:03    删除注册表      操作:允许
进程路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
注册表名称:ProxyOverride
2009-08-25 09:34:03    删除注册表      操作:允许
进程路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
注册表名称:AutoConfigURL
2009-08-25 09:34:06    修改注册表内容      操作:允许
进程路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
运行下载的病毒
2009-08-25 09:34:31    运行应用程序      操作:阻止
进程路径:F:\aaa\样本\ATray\ATray.exe
文件路径:D:\RG60Plus\Temp\ctv2140.exe
到这里关闭了病毒。