1 TDSS

显示全部楼层 · 发表于 2010-11-15 14:00:52

回复 9楼 hddu 的帖子

已经点击运行两次！
每次点击立即自动重启！一次进不了系统，另一次能进！不过没有中tdss的现象！
难道我没有开启病毒所需的服务。。。？！

显示全部楼层 · 发表于 2010-11-15 14:12:41

回复 11楼 liulangzhecgr 的帖子

按9楼办法修复，不多说。

显示全部楼层 · 发表于 2010-11-15 14:20:40

本帖最后由 liulangzhecgr 于 2010-11-15 14:22 编辑

回复 12楼 hddu 的帖子

什么tdss这么不堪一击。。。

第三次运行！还是不让我进系统！
是修改mbr的！修复mbr进入系统。。。。一切都正常！
这个tdss在我电脑上只改mbr ...没有其余的动作？！。。。真没意思

显示全部楼层 · 发表于 2010-11-15 14:23:15

回复 13楼 liulangzhecgr 的帖子

用什么方法修复mbr的，可告知，俺的办法太笨。

显示全部楼层 · 发表于 2010-11-15 14:24:44

ess kill

D:\下载文件夹\1289589994.rar > RAR > 1289589994.exe - Win32/Olmarik.SC 特洛伊木马

显示全部楼层 · 发表于 2010-11-15 14:24:45

回复 14楼 hddu 的帖子

在dos状态下 fdisk /mbr

显示全部楼层 · 发表于 2010-11-15 14:25:35

回复 16楼 liulangzhecgr 的帖子

谢!

显示全部楼层 · 发表于 2010-11-15 14:36:58

本帖最后由猪头大队于 2010-11-16 09:37 编辑

Artemis!8E3BE7006DCD
360网盾今日报毒

显示全部楼层 · 发表于 2010-11-15 14:39:35

本帖最后由 liulangzhecgr 于 2010-11-15 14:51 编辑

回复 17楼 hddu 的帖子

用eq阻止没有名称的。。。才中毒！自动重启后正常进入系统！中毒啦！

eq日志只能这样。。。

2010-11-15 14:30:04 应用程序保护已经开启.

2010-11-15 14:30:04 注册表保护已经开启.

2010-11-15 14:30:04 文件保护已经开启.

2010-11-15 14:30:39 运行应用程序    操作:允许
进程路径:C:\WINDOWS\explorer.exe
文件路径:E:\virus test\1289589994\1289589994.exe
触发规则:所有程序规则->0-virus test->*

2010-11-15 14:30:45 创建文件    操作:允许
进程路径:E:\virus test\1289589994\1289589994.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\1.tmp
触发规则:所有程序规则->A01…FD全局询问否定组->?:\*

2010-11-15 14:30:50 修改文件    操作:允许
进程路径:E:\virus test\1289589994\1289589994.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\1.tmp
触发规则:所有程序规则->A01…FD全局询问否定组->?:\*

2010-11-15 14:30:51 修改文件    操作:允许
进程路径:E:\virus test\1289589994\1289589994.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\1.tmp
触发规则:所有程序规则->A01…FD全局询问否定组->?:\*

2010-11-15 14:30:54 创建文件    操作:允许
进程路径:E:\virus test\1289589994\1289589994.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\2.tmp
触发规则:所有程序规则->A01…FD全局询问否定组->?:\*

2010-11-15 14:30:55 修改文件    操作:允许
进程路径:E:\virus test\1289589994\1289589994.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\2.tmp
触发规则:所有程序规则->A01…FD全局询问否定组->?:\*

2010-11-15 14:30:57 创建文件    操作:允许
进程路径:E:\virus test\1289589994\1289589994.exe
文件路径:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\2.tmp
触发规则:所有程序规则->A01…FD全局询问否定组->?:\*

2010-11-15 14:30:59 创建文件    操作:允许
进程路径:E:\virus test\1289589994\1289589994.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3.tmp
触发规则:所有程序规则->A01…FD全局询问否定组->?:\*

2010-11-15 14:31:00 修改文件    操作:允许
进程路径:E:\virus test\1289589994\1289589994.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3.tmp
触发规则:所有程序规则->A01…FD全局询问否定组->?:\*

只修改mbr的tdss... 我还以为修改驱动级文件呢。。。

显示全部楼层 · 发表于 2010-11-15 14:56:58

本帖最后由 hddu 于 2010-11-15 14:58 编辑

回复 19楼 liulangzhecgr 的帖子

文件保护，应用程序规则设置阻止spoolsv.exe删除自身spoolsv.exe。
注册表保护，应用程序规则设置阻止spoolsv.exe修改
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers
需要开启spooler服务

2010-11-15 13:52:07 修改注册表内容    操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers
注册表名称:Order
更改后:LanMan Print Services
触发规则:应用程序规则->系统程序->%windir%\system32\spoolsv.exe->HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers

2010-11-15 13:52:08 运行应用程序    操作:允许
进程路径:F:\virus\1289589994\1289589994.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\C.tmp.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2010-11-15 13:52:08 修改注册表内容    操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers
注册表名称:Order
更改后:LanMan Print Services
触发规则:应用程序规则->系统程序->%windir%\system32\spoolsv.exe->HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers

[病毒样本] 1 TDSS

本帖子中包含更多资源