微点报未知木马！

xiaotuzi

大家查查是什么木马？查看它们的属性竟然发现是微软的程序！这是怎么回事？

[ 本帖最后由 xiaotuzi 于 2009-10-8 07:31 编辑 ]

post8

kill all  TR/Dldr.Small.fgtw

Palkia

RS20091008090625500449

Soma Cruz

属性是可以伪造的
D:\TDDownload\PGXCN.rar>>PGXCN.EXE        TrojanDldr.Murlo.cfw.wzij        木马        还未处理
D:\TDDownload\~656973.rar>>~656973.EXE        TrojanDldr.Murlo.cfw.wzij        木马        还未处理

hdp112233

nod32

d:\我的文档\桌面\~656973.rar > RAR > ~656973.EXE - Win32/TrojanDownloader.Perkesh.J 特洛伊木马
d:\我的文档\桌面\PGXCN.rar > RAR > PGXCN.EXE - Win32/TrojanDownloader.Perkesh.J 特洛伊木马

xiaohai95

Trojan-Downloader.Win32.Murlo.cfw (病毒)

    * D:\SAMPLES\~656973.rar\~656973.EXE
    * D:\SAMPLES\PGXCN.rar\PGXCN.EXE

kalynn84

Win32:Small-MTB [Trj]
Win32:Small-MTB [Trj]

lza_China

2009-10-8 10:47:38    修改注册表值    允许
进程: c:\documents and settings\xpmuser\local settings\temp\485369
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{9B1AE382-2647-4c4a-A313-B36B6CA34BD7}
值:
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\*

2009-10-8 10:47:38    创建文件    允许
进程: c:\documents and settings\xpmuser\local settings\temp\485369
目标: c:\del77bf5.bat
规则: [文件]?:\

2009-10-8 10:47:39    创建新进程    允许
进程: c:\documents and settings\xpmuser\local settings\temp\485369
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c c:\del77bf5.bat
规则: [应用程序]*

2009-10-8 10:47:39    修改注册表值    允许
进程: c:\windows\system32\cmd.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{9B1AE382-2647-4c4a-A313-B36B6CA34BD7}
值:
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\*

2009-10-8 10:47:39    结束其他进程    允许
进程: c:\documents and settings\xpmuser\桌面\pgxcn\pgxcn.exe
目标: c:\windows\system32\cmd.exe
规则: [应用程序]*

2009-10-8 10:47:49    创建文件    允许
进程: c:\documents and settings\xpmuser\桌面\pgxcn\pgxcn.exe
目标: C:\Documents and Settings\XPMUser\Local Settings\Temporary Internet Files\Content.IE5\0BD6UWQB\3[1].exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2009-10-8 10:47:49    创建新进程    允许
进程: c:\documents and settings\xpmuser\桌面\pgxcn\pgxcn.exe
目标: c:\documents and settings\xpmuser\local settings\temp\498229
命令行: C:\DOCUME~1\XPMUser\LOCALS~1\Temp\498229
规则: [应用程序]*

2009-10-8 10:47:50    修改注册表值    允许
进程: c:\documents and settings\xpmuser\local settings\temp\498229
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{9B1AE382-2647-4c4a-A313-B36B6CA34BD7}
值:
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\*

2009-10-8 10:47:52    安装全局消息钩子    允许
进程: c:\documents and settings\xpmuser\local settings\temp\498229
目标: c:\windows\system32\s5ksrtwdf35ew9f2kbdf.inf
钩子类型: WH_GETMESSAGE
规则: [应用程序]*

2009-10-8 10:47:53    安装全局消息钩子    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\s5ksrtwdf35ew9f2kbdf.inf
钩子类型: WH_GETMESSAGE
规则: [应用程序]c:\windows\explorer.exe

2009-10-8 10:47:56    创建新进程    允许
进程: c:\documents and settings\xpmuser\local settings\temp\498229
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c del C:\DOCUME~1\XPMUser\LOCALS~1\Temp\498229 >> NUL
规则: [应用程序]*

2009-10-8 10:48:07    创建文件    允许
进程: c:\documents and settings\xpmuser\桌面\pgxcn\pgxcn.exe
目标: C:\Documents and Settings\XPMUser\Local Settings\Temporary Internet Files\Content.IE5\KEGS9XD1\4[1].exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2009-10-8 10:48:08    创建新进程    允许
进程: c:\documents and settings\xpmuser\桌面\pgxcn\pgxcn.exe
目标: c:\documents and settings\xpmuser\local settings\temp\515775
命令行: C:\DOCUME~1\XPMUser\LOCALS~1\Temp\515775
规则: [应用程序]*

2009-10-8 10:48:09    向其他进程发送消息    允许
进程: c:\windows\system32\services.exe
目标: c:\windows\system32\csrss.exe
消息: WM_DEVICECHANGE
规则: [应用程序]c:\windows\system32\services.exe

2009-10-8 10:48:09    修改注册表值    允许
进程: c:\documents and settings\xpmuser\local settings\temp\515775
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{9B1AE382-2647-4c4a-A313-B36B6CA34BD7}
值:
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\*

2009-10-8 10:48:09    安装全局消息钩子    允许
进程: c:\documents and settings\xpmuser\local settings\temp\515775
目标: c:\windows\tasks\sbrmpxjdcrgrafhz4ghh.inf
钩子类型: WH_GETMESSAGE
规则: [应用程序]*

2009-10-8 10:48:13    创建新进程    允许
进程: c:\documents and settings\xpmuser\local settings\temp\515775
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c del C:\DOCUME~1\XPMUser\LOCALS~1\Temp\515775 >> NUL
规则: [应用程序]*

Palkia

查询编号：RS20091008090625500449
文件名称：~656973.EXE
文件MD5：38606789747F28C7590B5CCA5C5E2A2D
文件状态：病毒文件
病毒名称：Trojan.Win32.Generic.11EE00D7
解决版本：22.16.03.02

lan

发现威胁..清除..