360 7.5 9月平均检测率（响应后）91.02% ，+主防99.47%，修复后+主防100%

显示全部楼层 · 发表于 2010-9-9 13:52:14

本帖最后由 jinzijie 于 2010.9.9 14:05 编辑

复测，上1001g，结果和之前一样，杀衍生物ThoGArN.exe，接下来就和反复生成的衍生物ea0wb2.exe死缠烂打，永无止境.....我想我的结果比较标准。
说穿了这是个穿启动项的vbs病毒而已，反复生成同样的木马就是这个vbs干滴。

显示全部楼层 · 发表于 2010-9-9 14:00:37

回复 151楼 jinzijie 的帖子

那2个EXE启动项可否自启动？除了那个文件不存在的，我这里360没有成功清除掉。

显示全部楼层 · 发表于 2010-9-9 14:04:39

回复 152楼 leisong 的帖子

2个东西XT找不到实体文件额，进目录也看不到额。这个ThoGArN.exe一开始就杀了，这个ea0wb2.exe就是反复生成的和360周旋无限回合的玩意。重启后，就vbs启动，接下来继续循环..........

显示全部楼层 · 发表于 2010-9-9 14:09:02

回复 153楼 jinzijie 的帖子

我这里XUETR能看到实体文件，但单独进文件夹无法找到，怎么结果有差异，等MJ来看看怎么回事？
但结果有差异，你那里也是穿了

显示全部楼层 · 发表于 2010-9-9 14:10:27

回复 154楼 leisong 的帖子

vbs之类的最讨厌了~

显示全部楼层 · 发表于 2010-9-9 14:15:43

我测试了好几遍，都不能成功运行，病毒是个下载者，会从一个FTP上下载木马文件，但是我这里总是下载回来一个损坏的文件，我手工连接他的FTP也是无法下载。。。

显示全部楼层 · 发表于 2010-9-9 14:19:04

回复 156楼 x64hips 的帖子

换网，我铁通无法下载，电信的可以

显示全部楼层 · 发表于 2010-9-9 15:01:28

本帖最后由 x64hips 于 2010.9.9 15:03 编辑

找了原因了，木马通过特殊方法修改了系统的启动目录指向

会尽快升级主防规则来拦截此类木马。

看不到文件不是隐藏了，是系统资源管理器对Offline Web Pages那个目录有特殊的处理，类似c:\windows\fonts目录那样。

另外，标题低调点吧。。。

显示全部楼层 · 发表于 2010-9-9 15:06:09

回复 158楼 x64hips 的帖子

我就说只是穿了主防的启动拦截，小问题一个~leisong惊弓之鸟了

显示全部楼层 · 发表于 2010-9-9 15:10:37

测试达到目的了

[讨论] 360 7.5 9月平均检测率（响应后）91.02% ，+主防99.47%，修复后+主防100%