收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 一个杀不掉的进程 删不掉的文件 hosddta.exe
123下一页
返回列表 发新帖
查看: 5029|回复: 25
收起左侧

[病毒样本] 一个杀不掉的进程 删不掉的文件 hosddta.exe

  [复制链接]
sl19861025
发表于 2009-12-7 13:25:56 | 显示全部楼层 |阅读模式
本帖最后由 sl19861025 于 2009-12-7 13:28 编辑

楼上一电脑出现问题（据说玩的人较多）


查杀日记：
1、小红伞没任何反映；
2、用xue强删除，清除注册表相关键值，没有立即重新生成文件；
3、系统重启后，没有立即生成，但不一会儿，进程里就又有了。
4、主要存在目录：c:\windows\temp\
                        c:\program files\common files\

病毒特征（应该算是恶意进程，或广告插件，因为系统应用并无大碍）
在浏览网页时，弹出色情网站（启动项、服务已排除关联）

附：在线分析结果（virscan.org）

VirSCAN.org Scanned Report :
Scanned time   : 2009/12/07 13:22:18 (CST)
Scanner results: 11%的杀软(4/37)报告发现病毒
File Name      : hosddta_tm_01.exe
File Size      : 1213892 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : c88316343dcc7ead441c1bc0093e76c3
SHA1           : 45a74de128ede611058b297d3ce376fb0c83b246
Online report  : http://virscan.org/report/c1b1d5d5b5a15f88b28de3ce4f5720ee.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.8         20091206090244    2009-12-06  7.48   -
安博士V3       2009.12.07.00   2009.12.07        2009-12-07  2.02   -
AntiVir        8.2.1.92        7.10.1.171        2009-12-06  1.25   HEUR/Malware
安天           2.0.18          20091204.3347676  2009-12-04  0.02   -
Arcavir        2009            200912060734      2009-12-06  1.14   -
Authentium     5.1.1           200912061651      2009-12-06  11.78  -
AVAST!         4.7.4           091206-1          2009-12-06  0.09   -
AVG            8.5.288         270.14.96/2549    2009-12-07  1.96   -
BitDefender    7.81008.4702513 7.29337           2009-12-07  4.17   Trojan.Generic.2816234
CA (VET)       35.1.0          7158              2009-12-04  4.12   -
ClamAV         0.95.2          10116             2009-12-07  0.31   -
Comodo         3.13            3162              2009-12-07  1.29   -
CP Secure      1.3.0.5         2009.12.04        2009-12-04  0.51   -
Dr.Web         4.44.0.9170     2009.12.06        2009-12-06  8.84   -
F-Prot         4.4.4.56        20091206          2009-12-06  7.19   -
F-Secure       7.02.73807      2009.12.07.03     2009-12-07  0.14   -
飞塔           11.132-         11.132            2009-12-06  0.90   -
GData          19.9203/19.609  20091207          2009-12-07  4.42   -
ViRobot        20091204        2009.12.04        2009-12-04  0.43   -
Ikarus         T3.1.01.74      2009.12.07.74661  2009-12-07  4.49   -
江民杀毒       13.0.900        2009.12.02        2009-12-02  30.16  -
卡巴斯基       5.5.10          2009.12.07        2009-12-07  0.08   -
金山毒霸       2009.2.5.15     2009.12.7.11      2009-12-07  0.97   Win32.Troj.YanerT.hl.1147372
迈克菲         5.3.00          5824              2009-12-06  3.38   -
Microsoft      1.5302          2009.12.07        2009-12-07  9.77   -
Norman         6.01.09         6.01.00           2009-12-05  4.01   -
熊猫卫士       9.05.01         2009.12.06        2009-12-06  4.91   -
趋势科技       9.000-1003      6.674.08          2009-12-07  0.04   -
Quick Heal     10.00           2009.12.05        2009-12-05  4.57   -
瑞星           20.0            22.25.00.01       2009-12-07  2.91   Trojan.Clicker.Win32.Yaner.a
Sophos         3.02.0          4.48              2009-12-07  2.69   -
Sunbelt        3.9.2381.2      5547              2009-12-06  2.31   -
赛门铁克       1.3.0.24        20091206.005      2009-12-06  0.08   -
nProtect       20091203.01     6487164           2009-12-03  3.85   -
The Hacker     6.5.0.2         v00086            2009-12-05  0.78   -
VBA32          3.12.12.0       20091206.2021     2009-12-06  2.85   -
VirusBuster    4.5.11.10       10.115.2/2003706  2009-12-07  7.21   -

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

diannao6051
发表于 2009-12-7 13:43:20 | 显示全部楼层
mpav 报木马
回复

举报

adad2008
头像被屏蔽
发表于 2009-12-7 13:43:46 | 显示全部楼层
本帖最后由 adad2008 于 2009-12-7 13:51 编辑

不是在你说的目录
回复

举报

sl19861025
 楼主| 发表于 2009-12-7 13:56:09 | 显示全部楼层
回复 3# adad2008


  难道目录不唯一？
回复

举报

will
发表于 2009-12-7 13:58:22 | 显示全部楼层
hosddta_tm_01.exe   ---   Suspicious/W32.Backdoor
[ Changes to filesystem ]
   * Creates file C:\Documents and Settings\Administrator\Local Settings\Temp\cCli98.dat
   * Creates file C:\Documents and Settings\Administrator\Local Settings\Temp\hosddta_tm_01_tm_01.exe
   * Modifies file E:\Sample\hosddta_tm_01.exe

[ Changes to registry ]
   * Creates value "AMD=2009-12-07 13:53:05" in key HKEY_LOCAL_MACHINE\software\Direct3D
   * Creates value "Word=9E1D0000" in key HKEY_LOCAL_MACHINE\software\Direct3D
   * Creates value "wdc=17FF4600" in key HKEY_LOCAL_MACHINE\software\Direct3D
   * Creates value "dar=05040000" in key HKEY_LOCAL_MACHINE\software\RegServe

[ Network services ]
   * Backdoor functionality on port 7582.

[ Process/window information ]
   * Creates a mutex {03F3EE80-79A1-4879-B60D-D0DC6867B703}.
   * Creates a mutex {6ADE9596-9FB4-426A-AC6B-DAE5BA95C49A}.
回复

举报

失落的手链
发表于 2009-12-7 14:05:00 | 显示全部楼层
瑞星2010
Trojan.Clicker.Win32.Yaner.a
回复

举报

幸福的猪猪
发表于 2009-12-7 14:05:18 | 显示全部楼层
回复 1# sl19861025


上报卡巴斯基，小红伞。
回复

举报

sl19861025
 楼主| 发表于 2009-12-7 14:10:13 | 显示全部楼层
回复 7# 幸福的猪猪

恩，小红伞开到high detection才能阻止进程创建，文件生成。
但每次跳跳的，挺烦的~~~~~~~~~~~~~~~
回复

举报

schumi小粉
发表于 2009-12-7 14:21:00 | 显示全部楼层
检测到病毒:Trj/CI.A                       手动扫描                        2009-12-7 14:23:45    已删除                路径:C:\WINXP\Documents and Settings\Administrator\桌面\hosddta_tm_01\hosddta_tm_01.exe
回复

举报

hddu
发表于 2009-12-7 14:24:02 | 显示全部楼层
2009-12-07 14:15:21    加载库文件      操作:允许
进程路径:E:\hosddta_tm_01\hosddta_tm_01.exe
文件路径:C:\WINDOWS\system32\dnsapi.dll
触发规则:所有程序规则->联网操作->%windir%\system32\dnsapi.dll


2009-12-07 14:15:23    创建注册表值      操作:阻止
进程路径:E:\hosddta_tm_01\hosddta_tm_01.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
注册表名称:E:\hosddta_tm_01\hosddta_tm_01.exe
触发规则:所有程序规则->网络保护->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List


2009-12-07 14:15:39    创建文件      操作:允许
进程路径:E:\hosddta_tm_01\hosddta_tm_01.exe
文件路径:E:\hosddta_tm_01\hosddta_tm_01__temp.exe
触发规则:应用程序规则->其它文件设置->E:\*->E:\*.exe


2009-12-07 14:15:45    创建文件      操作:允许
进程路径:E:\hosddta_tm_01\hosddta_tm_01.exe
文件路径:E:\hosddta_tm_01\hosddta_tm_01__temp.exe
触发规则:应用程序规则->其它文件设置->E:\*->E:\*.exe


2009-12-07 14:15:55    创建文件      操作:允许
进程路径:E:\hosddta_tm_01\hosddta_tm_01.exe
文件路径:E:\hosddta_tm_01\hosddta_tm_01.exe
触发规则:应用程序规则->其它文件设置->E:\*->E:\*.exe


2009-12-07 14:16:01    修改文件      操作:允许
进程路径:E:\hosddta_tm_01\hosddta_tm_01.exe
文件路径:E:\hosddta_tm_01\hosddta_tm_01.exe
触发规则:应用程序规则->其它文件设置->E:\*->E:\*.exe


2009-12-07 14:16:02    创建注册表值      操作:阻止
进程路径:E:\hosddta_tm_01\hosddta_tm_01.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
注册表名称:E:\hosddta_tm_01\hosddta_tm_01__temp.exe
触发规则:所有程序规则->网络保护->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
回复

举报

下一页 »
123下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2026-4-20 00:57 , Processed in 0.073292 second(s), 2 queries , Redis On.

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表