流氓样本，谁用HIPS测一下它究竟干了什么！

显示全部楼层 · 发表于 2010-1-9 16:07:43

阅读权限20.。

显示全部楼层 · 发表于 2010-1-9 16:11:24

2010-1-9 16:09:46 修改注册表值阻止并结束进程
进程: d:\emule\liumang\123.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu\{871C5380-42A0-1069-A2EA-08002B30309D}
值: 0x00000001(1)
规则: [注册表组]自动击杀用 -> [注册表]*\Software\Microsoft\window*\CurrentVersion\Explorer\HideDesktopIcons*

……看过几十次了

这种毒查下
HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
和系统盘的lnk和url文件就行了

显示全部楼层 · 发表于 2010-1-9 16:18:33

上报江民，HIPS结果在这里http://camas.comodo.com/cgi-bin/ ... 78dedf15b4132030334

显示全部楼层 · 发表于 2010-1-9 16:21:45

崇拜楼上这位大哥竟然用江民

显示全部楼层 · 发表于 2010-1-9 16:22:47

MSE：Trojan:Win32/Agent.HA，自动to

显示全部楼层 · 发表于 2010-1-9 16:29:27

D:\TDDownload\liumang.rar,查到病毒： Suspicious, 操作： <无>

显示全部楼层 · 发表于 2010-1-9 16:33:05

2010-01-09 16:31:42 应用程序保护(运行应用程序)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\liumang\123.exe
文件路径:C:\WINDOWS\system32\dwwin.exe
命令行:-x -s 332
2010-01-09 16:31:41 注册表保护(修改注册表内容)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\liumang\123.exe
注册表路径:HKEY_CURRENT_USER\machine\software\microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{DF98EB15-3044-6340-85B4-F6931B3A61A0}
注册表名称:[Default]
2010-01-09 16:31:41 注册表保护(修改注册表内容)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\liumang\123.exe
注册表路径:HKEY_CURRENT_USER\machine\software\microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{DF98EB15-3044-6340-85B4-F6931B3A61A0}
注册表名称:[Default]

呵呵，貌似4th的朋友对偶设计的签名很喜欢哈，嘎嘎~~

显示全部楼层 · 发表于 2010-1-9 16:43:53

显示全部楼层 · 发表于 2010-1-9 17:04:38

EAV4.0最新病毒库还是没认出来。。哎

显示全部楼层 · 发表于 2010-1-9 17:05:46

To KL

[可疑文件] 流氓样本，谁用HIPS测一下它究竟干了什么！

本帖子中包含更多资源

本帖子中包含更多资源