这是不是360卫士保护的Bug？

414447992

在样本区
http://bbs.kafan.cn/forum.php?mod=viewthread&tid=784076&page=1&extra=#pid14473767


运行后，360（7.3和7.5）均无反应，主页会被修改，尝试各种修复均无效果，后发这样本有进程 和 启动 互相保护，应该算是新变种吧，再运行木马查杀以及启动项修复后才可解决 （前面怎么没反应），这算是bug吗?

leisong

除了修改首页还自启动了吗？
卡饭的服务器下载速度太慢了，经常0速度

leisong

测过了，我的浏览器首页没被改，可能是我开了浏览器保护了
自启动和想的一样，是开始菜单启动栏那里的，老问题了，手动就可删除。

你想怎样

不是这么简单的,在虚拟机上测试了, 运行这个病毒后主页并没有修改,但是随机启动项多了一个C:\WINDOWS\caluecc.exe,  在C盘根目录下多了一个 game.exe  和 SeFastInstall3_3248.exe 这两个可执行文件

leisong

回复 4楼 你想怎样  的帖子

C:\WINDOWS\caluecc.exe 是启动项么？你启动过虚拟机验证过？
我只看到开始菜单那里的启动项

   

Lgwu

2010-9-3 12:02:46    创建文件    允许
进程: c:\documents and settings\administrator\桌面\soft4wg.exe
目标: C:\game.exe
规则: [文件组]文件安全读写规则(询问创建) -> [文件]?:\; *.exe

2010-9-3 12:02:47    创建文件    允许
进程: c:\documents and settings\administrator\桌面\soft4wg.exe
目标: C:\SeFastInstall3_3248.exe
规则: [文件组]文件安全读写规则(询问创建) -> [文件]?:\; *.exe

2010-9-3 12:02:49    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\soft4wg.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe" http://www.on86.com
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\program files\internet explorer\iexplore.exe

2010-9-3 12:02:52    创建文件    允许
进程: c:\game.exe
目标: C:\WINDOWS\caluecc.exe
规则: [文件组]常见病毒文件免疫(询问创建) -> [文件]c:\windows; *.exe*

2010-9-3 12:02:54    向其他进程发送消息    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\game.exe
消息: 0x04C8
规则: [应用程序]*

2010-9-3 12:02:55    修改物理内存    允许
进程: c:\sefastinstall3_3248.exe
规则: [应用程序]*

2010-9-3 12:02:56    修改注册表值    允许
进程: c:\sefastinstall3_3248.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cache

2010-9-3 12:02:58    创建文件    允许
进程: c:\windows\caluecc.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\office.exe
规则: [文件组]系统文件夹写保护(拒绝创建) -> [文件]c:\documents and settings\*; *.exe

2010-9-3 12:02:59    修改注册表值    允许
进程: c:\sefastinstall3_3248.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cookies

2010-9-3 12:03:00    修改注册表值    允许
进程: c:\sefastinstall3_3248.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; History

2010-9-3 12:03:02    访问网络    允许
进程: c:\sefastinstall3_3248.exe
目标: TCP [本机 : 1040] ->  [61.135.188.212 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-9-3 12:03:03    修改文件    允许
进程: c:\sefastinstall3_3248.exe
目标: C:\Documents and Settings\Administrator\Cookies\administrator@sogou[1].txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-9-3 12:03:08    向其他进程发送消息    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\caluecc.exe
消息: 0x03E4
规则: [应用程序]*

2010-9-3 12:03:10    修改文件    允许
进程: c:\game.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\office.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-9-3 12:03:11    向其他进程发送消息    允许
进程: c:\game.exe
目标: c:\windows\caluecc.exe
消息: 0x04C9
规则: [应用程序]*

2010-9-3 12:03:12    向其他进程发送消息    允许
进程: c:\game.exe
目标: c:\program files\internet explorer\iexplore.exe
消息: 0x04C9
规则: [应用程序]*

2010-9-3 12:04:33    向其他进程发送消息    允许
进程: c:\windows\caluecc.exe
目标: c:\windows\system32\csrss.exe
消息: 0x03E0
规则: [应用程序]*

你想怎样

回复 5楼 leisong  的帖子
又有发现 C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\office.exe
在任务管理器里面有进程 ,  我的虚拟机安装了金山可牛360三个杀毒软件


   

leisong

回复 7楼 你想怎样  的帖子

残余进程不等于启动项吧。目前360拦截启动项的老问题是开始菜单和计划任务。如果你发现了另外的启动项，那么就是发现了目前最新版的360和XUETR都检测不到的BUG。
   

你想怎样

回复 8楼 leisong  的帖子
开机后在任务管理器中有c:\windows\caluecc.exe这个进程,  在360卫士开机进程中却没有这个启动项.

而360卫士开机进程中可是却有office.exe这个启动项
   

leisong

回复 9楼 你想怎样  的帖子

不会吧？只听说任务管理器查不到的进程，现在反而倒过来么？
我知道了，这个应该是OFFICE.EXE调用的，不是自启动的，不信你删除OFFICE.EXE，开机就没了