大家帮我分析这个东东是不是病毒？谢谢！！！

显示全部楼层 · 发表于 2010-8-28 19:05:16

本帖最后由 pc1012998097 于 2010.8.28 19:28 编辑

这是个QQ堂的外挂，360与金山等总是报毒，但外挂作者曰是加载驱动造成的，各位高人帮我分析一下好吗?
下载地址：http://www.dbank.com/download.action?t=40&k=NDY5Mjk0Mjc=&pcode=LCw0MDEzOTQsNDAxMzk0&rnd=4

显示全部楼层 · 发表于 2010-8-28 19:28:06

无样本.

显示全部楼层 · 发表于 2010-8-28 19:29:08

回复 2楼 qqddliu 的帖子

忘记上传了，现在已经贴出了下载地址，帮忙分析一下吧！！

显示全部楼层 · 发表于 2010-8-28 19:32:02

本帖最后由 ssama 于 2010.8.28 19:35 编辑

avast! Win32:PUP-gen[PUP]

下标超出范围

显示全部楼层 · 发表于 2010-8-28 19:33:53

2010-08-28 19:34:06 创建注册表值    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\machine\system\CurrentControlSet\Services\ialdnwxf
注册表名称:ImagePath
注册表数据:C:\TDDownload\QQ堂全能外挂\ice.dll
触发规则:所有程序规则->系统关键设置保护->*\SYSTEM\*Controlset*\Services\*

2010-08-28 19:34:08 创建注册表值    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\machine\system\CurrentControlSet\Services\ialdnwxf
注册表名称:ImagePath
注册表数据:C:\TDDownload\QQ堂全能外挂\ice.dll
触发规则:所有程序规则->系统关键设置保护->*\SYSTEM\*Controlset*\Services\*

2010-08-28 19:34:09 修改注册表内容    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\machine\system\CurrentControlSet\Services\ialdnwxf
注册表名称:Start
触发规则:所有程序规则->系统关键设置保护->*\SYSTEM\*Controlset*\Services\*

2010-08-28 19:34:09 修改注册表内容    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\machine\system\CurrentControlSet\Services\ialdnwxf
注册表名称:Start
触发规则:所有程序规则->系统关键设置保护->*\SYSTEM\*Controlset*\Services\*

2010-08-28 19:34:12 修改注册表内容    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
注册表名称:Cache
注册表数据:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
触发规则:所有程序规则->IE浏览器设置保护->*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

2010-08-28 19:34:13 修改注册表内容    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
注册表名称:Cache
注册表数据:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
触发规则:所有程序规则->IE浏览器设置保护->*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

2010-08-28 19:34:13 修改注册表内容    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
注册表名称:Cookies
注册表数据:D:\我的文档\Cookies
触发规则:所有程序规则->IE浏览器设置保护->*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

2010-08-28 19:34:14 修改注册表内容    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
注册表名称:Cookies
注册表数据:D:\我的文档\Cookies
触发规则:所有程序规则->IE浏览器设置保护->*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

2010-08-28 19:34:15 修改注册表内容    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
注册表名称:History
注册表数据:C:\Documents and Settings\Administrator\Local Settings\History
触发规则:所有程序规则->IE浏览器设置保护->*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

2010-08-28 19:34:15 修改注册表内容    操作:阻止
进程路径:C:\Sandbox\Administrator\DefaultBox\drive\C\TDDownload\QQ堂全能外挂\QQ堂全能外挂V3.1.exe
注册表路径:HKEY_CURRENT_USER\user\current\software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
注册表名称:History
注册表数据:C:\Documents and Settings\Administrator\Local Settings\History
触发规则:所有程序规则->IE浏览器设置保护->*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

开了一下，也没看太懂，好像它能修改ie.

显示全部楼层 · 发表于 2010-8-28 19:39:21

不是病毒也是流氓...创建服务改IE

显示全部楼层 · 发表于 2010-8-28 19:56:43

to eset
http://samples.nod32tw.com/index ... 7ac4dad1d731e4ee40e

显示全部楼层 · 发表于 2010-8-28 20:05:52

本帖最后由大肚而为于 2010.8.28 20:12 编辑

显示全部楼层 · 发表于 2010-8-28 20:15:40

沙盘运行后NOD32报

2010-8-28 20:14:21 文件系统实时防护文件 C:\Sandbox\Administrator\virus\user\current\桌面\QQ堂全能外挂\ice.dll Win32/Agent.QEO 特洛伊木马通过删除清除 - 已隔离 WWW-268DC82552B\Administrator 在应用程序新建的文件上发生事件: C:\Documents and Settings\Administrator\桌面\QQ堂全能外挂\QQ堂全能外挂V3.1.exe.

显示全部楼层 · 发表于 2010-8-28 20:32:40

必然是恶意程序

[可疑文件] 大家帮我分析这个东东是不是病毒？谢谢！！！