[病毒样本] 1x

显示全部楼层 · 发表于 2010-1-6 10:34:59

本帖最后由 username 于 2010-1-6 10:38 编辑

2010-1-6 10:34:39 访问网络允许
进程: d:\emule\tlntsvi_2107\tlntsvi_2107.exe
目标: UDP [本机 : 54430] -> [4.2.2.1 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-1-6 10:34:41 访问网络允许
进程: d:\emule\tlntsvi_2107\tlntsvi_2107.exe
目标: TCP [本机 : 3445] -> [222.73.205.6 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-1-6 10:34:41 删除注册表值阻止
进程: d:\emule\tlntsvi_2107\tlntsvi_2107.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\lnkfile\IsShortcut
规则: [注册表组]保护关联顶 -> [注册表]*Classes\lnkfile\*

2010-1-6 10:34:41 修改注册表值阻止并结束进程
进程: d:\emule\tlntsvi_2107\tlntsvi_2107.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu\{871C5380-42A0-1069-A2EA-08002B30309D}
值: 0x00000001(1)
规则: [注册表组]自动击杀用 -> [注册表]*\Software\Microsoft\window*\CurrentVersion\Explorer\HideDesktopIcons*
（这个＝隐藏桌面IE图标，估计之后会再生成一个带链接的在桌面

显示全部楼层 · 发表于 2010-1-6 15:45:20

ess kill

D:\下载文件夹\tlntsvi_2107.7z > 7ZIP > tlntsvi_2107.exe - 可能是 Win32/StartPage.NOC 特洛伊木马的变种 - 是已删除对象的一部分

显示全部楼层 · 发表于 2010-1-6 15:52:00

老毒

显示全部楼层 · 发表于 2010-1-6 17:02:40

[病毒样本] 1x

本帖子中包含更多资源