修改rundll32.exe和ctfmon.exe的?!

瓜皮猫

猪头大队 发表于 2010-12-9 18:09
回复 2楼 三生缘石 的帖子

这个样本我已经上报给ESET了，回复正在处理

现在ESET太不给力了，处理速度太慢了。

左手

2010-12-9 18:50:30    创建文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\rundll.zeif
规则: [文件组]文件保护 -> [文件]c:\windows

2010-12-9 18:50:30    创建文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\rundll.zeif
规则: [文件组]文件保护 -> [文件]c:\windows

2010-12-9 18:50:30    创建文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\rundll.zeif
规则: [文件组]文件保护 -> [文件]c:\windows

2010-12-9 18:50:31    创建新进程    阻止
进程: i:\virus\融合.exe
目标: i:\virus\融合.exe
命令行: I:\virus\融合.exe
规则: [应用程序]*

2010-12-9 18:50:31    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组][S]系统文件夹 -> [文件]c:\windows\system32\dllcache\*

2010-12-9 18:50:31    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组][S]系统文件夹 -> [文件]c:\windows\system32\dllcache\*

2010-12-9 18:50:31    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组][S]系统文件夹 -> [文件]c:\windows\system32\dllcache\*

2010-12-9 18:50:31    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组][S]系统文件_XP -> [文件]c:\windows\system32; rundll32.exe

2010-12-9 18:50:31    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组][S]系统文件_XP -> [文件]c:\windows\system32; rundll32.exe

2010-12-9 18:50:31    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组][S]系统文件_XP -> [文件]c:\windows\system32; rundll32.exe

2010-12-9 18:50:32    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组][S]系统文件夹 -> [文件]c:\windows\system32\dllcache\*

2010-12-9 18:50:32    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组][S]系统文件夹 -> [文件]c:\windows\system32\dllcache\*

2010-12-9 18:50:32    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组][S]系统文件夹 -> [文件]c:\windows\system32\dllcache\*

2010-12-9 18:50:32    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组][S]系统文件_XP -> [文件]c:\windows\system32; ctfmon.exe

2010-12-9 18:50:32    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组][S]系统文件_XP -> [文件]c:\windows\system32; ctfmon.exe

2010-12-9 18:50:32    修改文件    阻止
进程: i:\virus\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组][S]系统文件_XP -> [文件]c:\windows\system32; ctfmon.exe

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e\DefaultIcon
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e\shell\open
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e\shell\open\command
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e\shell\runas\command
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e\shellex\DropHandler
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e\shellex\PropertySheetHandlers\PifProps
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e\shellex\PropertySheetHandlers\ShimLayer Property Page
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e\shellex\PropertySheetHandlers\{B41DB860-8EE4-11D2-9906-E49FADC173CA}
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefi1e
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.zeif
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.zeif
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.zeif\PersistentHandler
规则: [注册表]*

2010-12-9 18:50:32    创建注册表项    阻止
进程: i:\virus\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.zeif
规则: [注册表]*



小红伞不报。。

猪头大队

回复 11楼 三生缘石 的帖子

话说我上报到如今，还没见ESET给过我一封回复邮件呢

liulangzhecgr

回复 12楼 左手 的帖子

没有中标?!

瓜皮猫

猪头大队 发表于 2010-12-9 18:54
回复 11楼 三生缘石 的帖子

话说我上报到如今，还没见ESET给过我一封回复邮件呢

我感觉我上报15封回我一封吧。刚开始还挺好的，现在越来越少了。

左手

回复 14楼 liulangzhecgr 的帖子

没有吧。。我等下重启看看。。
你的有一些动作。我没有。。什么2010-12-09 12:56:10    关闭/重启系统      操作:允许
进程路径:F:\virus test\ww\融合.exe

触发规则:所有程序规则->*


这个没有。。没有。。

kinkids

Kaspersky Internet Security 2011，
掃瞄偵測為{Trojan.Win32.KillAV.hbk}，
已進行隔離/刪除動作。

掃瞄偵測到1個可疑檔案，--個 Kaspersky Cloud，--個啟發，1個特徵碼，一隻病毒一條特徵碼，傻眼，囧rz，
剩餘2個文件MISS，無威脅可疑，已提交至 Kaspersky。

liulangzhecgr

回复 16楼 左手 的帖子

不用重启啦!没中!
我运行后自动注销! eq ... 阻止操作可能没有生效...

KOI9009

360 SD Kill

s8706042

已上報趨勢嚕~~