bot_upp3_161.exe [md5:BA99B8] (0913)

库洛洛

C:\Documents and Settings\Administrator\桌面\病毒样本\bot_upp3_161.exe    Malware.QVM19.Gen    已删除

jayavira

to eset

http://samples.nod32.com.sg/inde ... 2e382e93d6598ffdf83

jason_jiang

启发，to xandora(panda)

佐藤美和子

回复 3楼 jason_jiang  的帖子

fatezero

TO KL

hddu

2010-09-14 09:28:09    创建文件      操作:允许
进程路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Liykf
触发规则:所有程序规则->Documents and Settings文件夹设置（二）->?:\Documents and Settings\*\Application Data\*


2010-09-14 09:28:09    创建文件      操作:阻止
进程路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Liykf\icevc.exe
触发规则:所有程序规则->Documents and Settings文件夹设置（二）->?:\Documents and Settings\*\Application Data\*.exe


2010-09-14 09:28:09    运行应用程序      操作:允许
进程路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp4d72c7de.bat"
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2010-09-14 09:28:12    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->?:\*

hddu

再测试，结果如下，是毒，否毒，请大家明辩。

2010-09-14 09:33:39    创建文件      操作:允许
进程路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Inoh
触发规则:所有程序规则->Documents and Settings文件夹设置（二）->?:\Documents and Settings\*\Application Data\*

2010-09-14 09:33:39    创建文件      操作:允许
进程路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
触发规则:所有程序规则->Documents and Settings文件夹设置（二）->?:\Documents and Settings\*\Application Data\*.exe

2010-09-14 09:33:41    创建文件      操作:允许
进程路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Efvyu
触发规则:所有程序规则->Documents and Settings文件夹设置（二）->?:\Documents and Settings\*\Application Data\*

2010-09-14 09:33:41    创建文件      操作:允许
进程路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Efvyu\dupi.pex
触发规则:所有程序规则->Documents and Settings文件夹设置（二）->?:\Documents and Settings\*\Application Data\*

2010-09-14 09:33:42    运行应用程序      操作:允许
进程路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
触发规则:应用程序规则->自动创建规则->?:\*

2010-09-14 09:33:43    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
目标进程:C:\WINDOWS\explorer.exe
触发规则:所有程序规则->*

2010-09-14 09:33:43    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
目标进程:C:\WINDOWS\mixer.exe
触发规则:所有程序规则->*

2010-09-14 09:33:43    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
目标进程:C:\Program Files\Filseclab\xfilter\xfilter.exe
触发规则:所有程序规则->*

2010-09-14 09:33:43    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
目标进程:C:\WINDOWS\system32\ctfmon.exe
触发规则:所有程序规则->*

2010-09-14 09:33:43    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
目标进程:C:\Program Files\江门有线宽带登陆\JMCATVLogin.exe
触发规则:所有程序规则->*

2010-09-14 09:33:43    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
目标进程:C:\Program Files\Filseclab\Twister\Twister.exe
触发规则:所有程序规则->*

2010-09-14 09:33:43    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
目标进程:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:所有程序规则->*

2010-09-14 09:33:43    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Inoh\bylu.exe
目标进程:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
触发规则:所有程序规则->*

2010-09-14 09:33:43    运行应用程序      操作:允许
进程路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp4d2c7e59.bat"
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2010-09-14 09:33:44    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\conime.exe
触发规则:所有程序规则->系统程序设置->*\conime.exe

2010-09-14 09:33:46    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\病毒样本\病毒样本\bot_upp3_161.exe
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->?:\*

镜湖

mpav kill

KOI9009

金山卫士 拦截

wdxxs2z

http://anubis.iseclab.org/?actio ... 8a9&format=html
没一个杀软可查出，但分析后，迹象明显。