软件区有人发有毒软件

duguhui

不太清楚，如查明属实，严办！

月光下的忍者

2009-09-24 09:43:16        文件保护(创建文件)     操作:允许
进程路径:F:\mayius_xsteup.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\ad13265.exe

2009-09-24 09:43:16        文件保护(创建文件)     操作:允许
进程路径:F:\mayius_xsteup.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\fdas_xsteup.exe

2009-09-24 09:43:17        注册表保护(创建注册表值)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\fdas_xsteup.exe
注册表路径:HKEY_CLASSES_ROOT\lanren
注册表名称:[Key]

2009-09-24 09:43:17        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\fdas_xsteup.exe
文件路径:C:\windows\system32\autoups.exe

2009-09-24 09:43:17        注册表保护(创建注册表值)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\fdas_xsteup.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表名称:shell

2009-09-24 09:43:17        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\fdas_xsteup.exe
文件路径:C:\windows\system32\IEUpdates.dll

2009-09-24 09:43:17        注册表保护(创建注册表值)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\fdas_xsteup.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2AE901B4-648E-4AAB-A296-C3AC1A0C9175}
注册表名称:[Key]

2009-09-24 09:43:17        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\fdas_xsteup.exe
文件路径:C:\windows\system32\Ieautoups.exe

2009-09-24 09:43:17        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\fdas_xsteup.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\a.bat

2009-09-24 09:43:18        注册表保护(创建注册表值)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\ad13265.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\MicroPlugins\Common
注册表名称:[Key]

2009-09-24 09:43:18        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\ad13265.exe
文件路径:C:\Program Files\Common Files\PushWare\Uninst.exe

2009-09-24 09:43:18        文件保护(创建文件)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\ad13265.exe
文件路径:C:\Program Files\Common Files\PushWare\cpush.dll

2009-09-24 09:43:18        注册表保护(创建注册表值)     操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX3\ad13265.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
注册表名称:CPushSetup

jpzy

安装完以后，安装路径下会有一个wextract.exe。这个东西的行为比较异常。有修改注册表添加自启动，释放文件，释放bat并且调用CMD运行的行为。

软件的其它部分未见异常。怀疑是捆绑。wextract我会上传到样本区等待更多人的验证！

jpzy

太神奇了，发现我测试的东东跟Lz上传的居然不一样~~~

月光下的忍者

你个大白菜，我测的是楼主上传的那个文档，你测的是原帖中的程序。

jpzy

LZ上传的是原始安装程序还是抓到的样本啊？

月光下的忍者

不知道。

不过看你测的这个，也是个病毒。

挺会伪装，还mconfig，少了个s就以为认不出了他了~

chow2006

帖子已回收，谢谢楼主

weiaiya

来卡饭发病毒的都是SB  不看看大家都是做什么的

超立方

这个要顶