NOD32是不是会对EXE文件命名的E书文件误报呀？

土豆仔仔

昨天晚上刚刚把NOD32升级到最新的病毒库4563（20091101），打开E书的文件夹，发现EXE结尾的E书都报错。

信息如下：
扫描对象：“D:\Mybox\EBOOK\青囊尸衣.exe”
发现“Win32/TrojanClicker.Agent.NHV 特洛伊木马”的威胁
操作是“无法清除”
信息：“尝试通过应用程序访问文件时发生事件: C:\Program Files\ESET\ESET NOD32 Antivirus\EGUI.EXE.”

日志如下：
- <ESET>
- <LOG>
- <RECORD>
- <COLUMN NAME="时间">
<DATE>2009-11-1</DATE>

<TIME>22:25:24</TIME>

</COLUMN>


<COLUMN NAME="扫描程序">文件系统实时防护</COLUMN>

<COLUMN NAME="对象">文件</COLUMN>

<COLUMN NAME="名称">D:\Mybox\EBOOK\青囊尸衣.exe</COLUMN>

<COLUMN NAME="威胁">Win32/TrojanClicker.Agent.NHV 特洛伊木马</COLUMN>

<COLUMN NAME="操作">无法清除</COLUMN>

<COLUMN NAME="用户">MICROSOF-46D90B\Administrator</COLUMN>

<COLUMN NAME="信息">尝试通过应用程序访问文件时发生事件: C:\Program Files\ESET\ESET NOD32 Antivirus\EGUI.EXE.</COLUMN>

</RECORD>


- <RECORD>
- <COLUMN NAME="时间">
<DATE>2009-11-1</DATE>

<TIME>22:25:24</TIME>

</COLUMN>


<COLUMN NAME="扫描程序">文件系统实时防护</COLUMN>

<COLUMN NAME="对象">文件</COLUMN>

<COLUMN NAME="名称">D:\Mybox\EBOOK\明朝那些事儿.exe</COLUMN>

<COLUMN NAME="威胁">Win32/TrojanClicker.Agent.NHV 特洛伊木马</COLUMN>

<COLUMN NAME="操作">无法清除</COLUMN>

<COLUMN NAME="用户">MICROSOF-46D90B\Administrator</COLUMN>

<COLUMN NAME="信息">尝试通过应用程序访问文件时发生事件: C:\Program Files\ESET\ESET NOD32 Antivirus\EGUI.EXE.</COLUMN>

</RECORD>


- <RECORD>
- <COLUMN NAME="时间">
<DATE>2009-11-1</DATE>

<TIME>22:25:24</TIME>

</COLUMN>


<COLUMN NAME="扫描程序">文件系统实时防护</COLUMN>

<COLUMN NAME="对象">文件</COLUMN>

<COLUMN NAME="名称">D:\Mybox\EBOOK\庆余年.exe</COLUMN>

<COLUMN NAME="威胁">Win32/TrojanClicker.Agent.NHV 特洛伊木马</COLUMN>

<COLUMN NAME="操作">无法清除</COLUMN>

<COLUMN NAME="用户">MICROSOF-46D90B\Administrator</COLUMN>

<COLUMN NAME="信息">尝试通过应用程序访问文件时发生事件: C:\Program Files\ESET\ESET NOD32 Antivirus\EGUI.EXE.</COLUMN>

</RECORD>






以上E书都是从正规网站上下载下来的，请问这种威胁是不是属于NOD32的误报呀？
谢谢。

心急如焚KF

我的也报了，不过我排除了整个文件夹

吾与谁归

我的不会，是不是感染了

xmiangui

TrojanClicker是指是在运行时访问链接的行为特征（比如可以访问个最新版的木马地址什么的），且该操作隐藏，即用户是不知情的。

顾名思义TrojanClicker = 木马点击么。当然点击的是不是木马那就看制作者的了。

如果电子书在打开时，后台访问个链接（其实这倒没什么），我想也不奇怪。我小人之心一下，可能有的电子书作者想收点辛苦费，你打开电子书的时候设置访问下他的广告/博客什么的，增加点点击率，这也不是没有可能。（以上纯属小人之心的猜测，见谅）

那么在启发引擎看来（尤其是NOD32自傲的高级语言行为判断看来），这就是典型的TrojanClicker行为，当然启发引擎是不会关心TrojanClicker到底Click的是什么就是了。

[ 本帖最后由 xmiangui 于 2009-11-2 22:38 编辑 ]

土豆仔仔

原帖由 xmiangui 于 2009-11-2 22:09 发表
TrojanClicker是指是在运行时访问链接的行为特征（比如可以访问个最新版的木马地址什么的），且该操作隐藏，即用户是不知情的。

顾名思义TrojanClicker = 木马点击么。当然点击的是不是木马那就看制作者的了。

...

说得有些道理，谢谢~看来以后只能下载HTML格式或TXT格式的电子书了！

strawman0719

学习4楼