setup3[1].exe

显示全部楼层 · 发表于 2010-10-16 17:05:27

ess kill

Win32/TrojanDropper.VB.NQT 特洛伊木马的变种

显示全部楼层 · 发表于 2010-10-16 17:35:42

启发，to xandora(panda)

显示全部楼层 · 发表于 2010-10-16 17:38:20

小a、avg、蜘蛛、鸡蛋挞，瑞星、F-Secure，pctools，江民，miss
nod32、迈克菲 kill

显示全部楼层 · 发表于 2010-10-16 17:42:12

TO KL

显示全部楼层 · 发表于 2010-10-16 17:45:19

2010-10-16 17:47:00 创建文件    操作:使用任务隔离区操作
进程路径:F:\VIRUS\setup3[1]\setup3[1].exe
文件路径:C:\Program Files\Common Files\System\hypertrm.jpg
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\Common Files\System\*

2010-10-16 17:47:00 运行应用程序    操作:允许
进程路径:F:\VIRUS\setup3[1]\setup3[1].exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c del F:\virus\SETUP3~1\SETUP3~1.EXE
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2010-10-16 17:47:03 删除文件    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\setup3[1]\setup3[1].exe
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->?:\*

显示全部楼层 · 发表于 2010-10-16 17:48:16

kis2011查不出

显示全部楼层 · 发表于 2010-10-16 18:40:16

过了小三.

显示全部楼层 · 发表于 2010-10-16 18:51:32

此毒厉害，退出防护软件后运行，毒文件自动删除，重启，系统正常进入，感觉无异常，但当双击任一盘符，会直接运行
D:\Windows Media Player文件夹内的文件npdrmv2.jpg，EQ阻止日志如下：

2010-10-16 18:48:16 删除文件    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\Internet Explorer.lnk
触发规则:所有程序规则->Documents and Settings文件夹设置（二）->?:\Documents and Settings\*\*Internet*Explorer*

2010-10-16 18:48:16 删除文件    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk
触发规则:所有程序规则->Documents and Settings文件夹设置（一）->?:\Documents and Settings\*\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk

2010-10-16 18:48:16 删除注册表    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
注册表名称:[Key]
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2010-10-16 18:48:16 删除注册表    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden
注册表名称:[Key]
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2010-10-16 18:48:16 删除注册表    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt
注册表名称:[Key]
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2010-10-16 18:48:16 删除注册表    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel
注册表名称:{871C5380-42A0-1069-A2EA-08002B30309D}
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons*

2010-10-16 18:48:16 创建注册表值    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel
注册表名称:{871C5380-42A0-1069-A2EA-08002B30309D}
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons*

2010-10-16 18:48:16 修改注册表内容    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
注册表名称:SuperHidden
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2010-10-16 18:48:16 创建注册表值    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoInternetIcon
触发规则:所有程序规则->资源管理器->*\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

2010-10-16 18:48:16 修改注册表内容    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}\Shell\属性(&R)\Command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2010-10-16 18:48:16 修改注册表内容    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}\Shell\删除(&D)\Command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2010-10-16 18:48:16 修改注册表内容    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}\Shell\重命名(&M)\Command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2010-10-16 18:48:16 创建注册表值    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}\Shell\Open(&O)\Command
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->HKEY_CLASSES_ROOT\CLSID\{*}\shell\Open*\Command

2010-10-16 18:48:16 创建注册表值    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}\Shell\Open(&O)\Command
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->HKEY_CLASSES_ROOT\CLSID\{*}\shell\Open*\Command

2010-10-16 18:48:16 创建注册表值    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}
注册表名称:[Key]
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace*

2010-10-16 18:48:16 创建注册表值    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}
注册表名称:[Key]
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace*

2010-10-16 18:48:16 创建文件    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
文件路径:C:\Program Files\Common Files\dao.ico
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\Common Files\*

2010-10-16 18:48:16 修改注册表内容    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C27CCE38-8596-11D1-B16A-00C0F0283688}\Shell\属性(&R)\Command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2010-10-16 18:48:16 修改注册表内容    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C27CCE38-8596-11D1-B16A-00C0F0283688}\Shell\删除(&D)\Command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2010-10-16 18:48:16 修改注册表内容    操作:使用任务隔离区操作
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C27CCE38-8596-11D1-B16A-00C0F0283688}\Shell\重命名(&M)\Command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2010-10-16 18:48:16 创建注册表值    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C27CCE38-8596-11D1-B16A-00C0F0283688}\Shell\Open(&O)\Command
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->HKEY_CLASSES_ROOT\CLSID\{*}\shell\Open*\Command

2010-10-16 18:48:16 创建注册表值    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_CLASSES_ROOT\CLSID\{C27CCE38-8596-11D1-B16A-00C0F0283688}\Shell\Open(&O)\Command
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->HKEY_CLASSES_ROOT\CLSID\{*}\shell\Open*\Command

2010-10-16 18:48:16 创建注册表值    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{C27CCE38-8596-11D1-B16A-00C0F0283688}
注册表名称:[Key]
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace*

2010-10-16 18:48:16 创建注册表值    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{C27CCE38-8596-11D1-B16A-00C0F0283688}
注册表名称:[Key]
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace*

2010-10-16 18:48:16 创建文件    操作:阻止
进程路径:D:\Windows Media Player\Program Files\npdrmv2.jpg
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\Internet Explorer.url
触发规则:所有程序规则->Documents and Settings文件夹设置（二）->?:\Documents and Settings\*\*Internet*Explorer*

三次测试都是此结果，有可能俺的人品极差，得罪正人君子太多。

显示全部楼层 · 发表于 2010-10-16 18:56:38

AVG KILL

"";"C:\Users\Desktop\setup3[1].rar:\setup3[1].exe";"特洛伊木马 Dropper.Generic2.BGDS";"已感染"

[病毒样本] setup3[1].exe