PE explorer 改坏了，作废。

显示全部楼层 · 发表于 2010-12-3 11:07:19

大蜘蛛副本MISS，已上报

显示全部楼层 · 发表于 2010-12-3 11:08:56

回复 9楼 fatezero 的帖子

沙盘里也是自动退

显示全部楼层 · 发表于 2010-12-3 11:23:27

楼主亮了。。。

显示全部楼层 · 发表于 2010-12-3 11:26:49

本帖最后由我是新手于 2010-12-3 11:28 编辑

改前改后，微点套装不报，改前改后，金山卫士下载文件：CallSHiTB3T_COM (10) - 副本.z...
木马名称：Win32.Malware.Heur_Generic....
这个木马可能破坏您的电脑系统，窃取账号密码

保存路径：C:\Documents and Settings\sb\桌面
下载工具：谷歌浏览器

显示全部楼层 · 发表于 2010-12-3 11:33:08

fatezero 发表于 2010-12-3 11:04
改前
http://camas.comodo.com/cgi-bin/submit?file=df539e1ae60962a091d9af86bea826ea0b65c137886a8c2337 ...

真改坏了，可恶的PE explorer

显示全部楼层 · 发表于 2010-12-3 11:43:01

其实能够load就不算坏，呵呵

显示全部楼层 · 发表于 2010-12-3 13:01:29

zdolo 发表于 2010-12-3 11:43
其实能够load就不算坏，呵呵

运行创建一个进程后就直接退出。原来的目的已经不能达到了。虽然PE结构没有损坏，但从已经没有实际意义。

显示全部楼层 · 发表于 2010-12-3 13:48:25

2010-12-3 13:43:29 创建新进程允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
命令行: "D:\我的文档\viurs test\CallSHiTB3T_COM (10)\CallSHiTB3T_COM (10).exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]d:\我的文档\*

2010-12-3 13:43:32 创建文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\dwm.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe

2010-12-3 13:43:32 修改注册表值阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load
值: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\dwm.exe
规则: [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows nt\Currentversion\Windows; load

2010-12-3 13:43:33 修改注册表值阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-3 13:43:34 创建新进程阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
命令行: "D:\我的文档\viurs test\CallSHiTB3T_COM (10)\CallSHiTB3T_COM (10).exe" startC:\Documents and Settings\Administrator\Application Data\Microsoft\svchost.exe%C:\Documents and Settings\Administrator\Application Data\Microsoft
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]d:\我的文档\*

2010-12-3 13:43:34 修改注册表值阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-3 13:43:35 修改注册表值阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-3 13:43:35 修改文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-3 13:43:35 修改文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-3 13:43:35 修改注册表值阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-3 13:43:35 修改文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-3 13:43:36 修改注册表值阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-3 13:43:36 修改注册表值阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-3 13:43:36 修改文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\ri4o37hj.default\prefs.js
规则: [文件组]文件阻止及保护 -> [文件]*; *.js

2010-12-3 13:43:44 创建文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: C:\Documents and Settings\Administrator\Application Data\Microsoft\svchost.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe

2010-12-3 13:43:45 创建新进程阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
命令行: "D:\我的文档\viurs test\CallSHiTB3T_COM (10)\CallSHiTB3T_COM (10).exe" startC:\Documents and Settings\Administrator\Application Data\Microsoft\Windows\shell.exe%C:\Documents and Settings\Administrator\Application Data\Microsoft\Windows
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]d:\我的文档\*

2010-12-3 13:43:52 创建文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: C:\Documents and Settings\Administrator\Application Data\Microsoft\Windows\shell.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe

2010-12-3 13:43:56 修改文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-3 13:43:56 修改文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-3 13:43:57 修改注册表值阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-3 13:43:57 修改文件阻止
进程: d:\我的文档\viurs test\callshitb3t_com (10)\callshitb3t_com (10).exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\ri4o37hj.default\prefs.js
规则: [文件组]文件阻止及保护 -> [文件]*; *.js

---------------------------------------------------------------------------------------------------------------------------------------

2010-12-3 13:46:13 创建新进程允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\viurs test\callshitb3t_com (10) - 副本\callshitb3t_com (10) - 副本.exe
命令行: "D:\我的文档\viurs test\CallSHiTB3T_COM (10) - 副本\CallSHiTB3T_COM (10) - 副本.exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]d:\我的文档\*

没下面的动作了

显示全部楼层 · 发表于 2010-12-3 23:55:29

趨勢: BKDR_CYCBOT.SME

显示全部楼层 · 发表于 2010-12-4 01:25:01

360网盾都报毒了，不排除已经上报的可能
改前：开始在“C:\Users\Administrator\Downloads\CallSHiTB3T_COM (10).zip”中扫描
C:\Users\Administrator\Downloads\CallSHiTB3T_COM (10).zip
[0] 存档类型: ZIP
  [检测]       是 TR/Crypt.XPACK.Gen 特洛伊木马
--> CallSHiTB3T_COM (10).exe
  [检测]       是 TR/Crypt.XPACK.Gen 特洛伊木马

改后：开始在“C:\Users\Administrator\Downloads\CallSHiTB3T_COM (10) - 副本.zip”中扫描
C:\Users\Administrator\Downloads\CallSHiTB3T_COM (10) - 副本.zip
[0] 存档类型: ZIP
  [检测]       是 TR/Crypt.ZPACK.Gen 特洛伊木马
--> CallSHiTB3T_COM (10) - ﾸﾱﾱﾾ.exe
  [检测]       是 TR/Crypt.ZPACK.Gen 特洛伊木马
说不定也被上报了

[病毒样本] PE explorer 改坏了，作废。

本帖子中包含更多资源