新的autorun病毒，可以破虚拟机直接感染系统！

显示全部楼层 · 发表于 2007-5-8 12:55:42

已经上报给eset

显示全部楼层 · 发表于 2007-5-8 13:00:33

下载者
也上报了
我很放心地在影子中运行
反正防火墙不允许联网

显示全部楼层 · 发表于 2007-5-8 13:40:23

添加了一个系统服务源文件是c:\windows\system32\wservers.exe

注册表位置在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Wserver

还有一个浏览器加载项，源文件c:\windows\system32\serverhelp.dll
（文件名可能会

改变）注册表位置在

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser

Helper Objects\{B1B9CA6E-D469-4501-9ADC-90DC1F1EE841}

插入explorer进程有上述两项源文件及注册表项进行保护发现被删除就重新生成

清除方法结束explorer进程删除上述文件及注册表项和各盘下隐藏的inf和exe文件

重启explorer

显示全部楼层 · 发表于 2007-5-8 13:51:22

突破虚拟机了?

显示全部楼层 · 发表于 2007-5-8 13:52:27

能突破影子否？？？

显示全部楼层 · 发表于 2007-5-8 14:20:52

Start of the scan: 2007年5月8日  14:22

Starting the file scan:

Begin scan in 'E:\new virus 001.rar'
E:\new virus 001.rar
  [0] Archive type: RAR
  --> RECYCLER\etonn.exe
   [DETECTION] Is the Trojan horse TR/Dldr.Tiny.GN.1
   [INFO]    The file was moved to '46b71784.qua'!

显示全部楼层 · 发表于 2007-5-8 15:28:07

显示全部楼层 · 发表于 2007-5-8 15:30:20

费尔杀

显示全部楼层 · 发表于 2007-5-8 15:30:43

Date,Virus Name,Virus Type,User,Filename,Scan Type
2007-5-8 15:29:15,TrojanDownloader.k.vyxa,木马,BEYOND,C:\Documents and Settings\BEYOND\桌面\new virus 001.rar>>RECYCLER\etonn.exe,Manual scan

显示全部楼层 · 发表于 2007-5-8 15:33:36

KIS621，费尔全报了

[病毒样本] 新的autorun病毒，可以破虚拟机直接感染系统！

本帖子中包含更多资源

本帖子中包含更多资源