求高手分析此木马

chenrui0148

用360杀毒扫描无毒运行后发现流量有异常，木马在下载文件
过了一会360弹出橙色弹窗
提示有程序正在利用驱动绕过安全软件检测
点阻止
然后桌面上多了搜讯2010和搜讯小游戏的图标
木马防火墙提示发现木马
点清除
然后用卫士和杀毒快速扫描
系统异常缓慢
360所有程序都无响应
接着系统无响应
安全模式下360杀毒、卫士包括急救箱都未查出病毒
再次开机
系统极度缓慢然后无响应
期间有一次开机，联网后发现木马程序又在联网下载东西下载了金山急救箱，查杀途中蓝屏
进入安全模式   查杀出IE插件3个
重启系统，联网使用急救箱查杀结果

http://www.virscan.org/report/b0 ... 251f0f97ddb68c.html 扫描结果 :          8%的杀软(3/36)报告发现病毒 绕过很多杀软啊。

jayavira

to eset

http://samples.nod32.com.hk/inde ... 94a7c86cf508f771d06

西风萧雨

金山卫士下载报毒，微点杀毒扫描报毒

aiyooo

to kis

萧剑

CIS kill

ppy0606

2010-12-20 11:02:30    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
命令行: "d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]d:\我的文档\*

2010-12-20 11:02:35    创建文件    允许
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\绿色脱壳破解版.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe

2010-12-20 11:02:37    创建文件    允许
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\绿色脱壳破解.exe
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.exe

2010-12-20 11:02:37    修改文件    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:02:37    修改文件    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:02:38    修改文件    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:02:38    修改文件    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:02:39    修改注册表值    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: d:\我的文档
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:02:40    修改注册表值    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:02:41    修改注册表值    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\Administrator\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:02:41    修改注册表值    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
值: C:\Documents and Settings\All Users\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:02:42    修改注册表值    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:02:43    修改注册表值    阻止
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:02:46    创建新进程    允许
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\绿色脱壳破解版.exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]?:\documents and settings\*\local settings\temp\*

2010-12-20 11:02:49    创建新进程    允许
进程: d:\我的文档\viurs test\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
目标: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\绿色脱壳破解.exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]?:\documents and settings\*\local settings\temp\*

2010-12-20 11:02:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:02:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:02:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:02:49    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:02:53    向其他进程发送消息    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: f:\program files\mozilla firefox\firefox.exe
消息: WM_DDE_EXECUTE
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [目标应用程序]f:\program files\mozilla firefox\firefox.exe

2010-12-20 11:02:56    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解.exe
目标: c:\documents and settings\administrator\local settings\temp\is-batmg.tmp\绿色脱壳破解.tmp
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\is-BATMG.tmp\绿色脱壳破解.tmp" /SL5="$300358,53248,53248,C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\绿色脱壳破解.exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]?:\documents and settings\*\local settings\temp\*

2010-12-20 11:03:11    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: d:\我的文档
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:03:12    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:03:13    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\Administrator\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:03:13    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
值: C:\Documents and Settings\All Users\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:03:14    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:03:14    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:03:15    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe" http://Click.4455.in/Click/t.html
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]c:\program files\internet explorer\*

ppy0606

2010-12-20 11:03:54    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:03:54    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:03:54    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:03:54    修改文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-20 11:03:58    向其他进程发送消息    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: f:\program files\mozilla firefox\firefox.exe
消息: WM_DDE_EXECUTE
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [目标应用程序]f:\program files\mozilla firefox\firefox.exe

2010-12-20 11:04:16    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: d:\我的文档
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:04:16    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:04:17    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\Administrator\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:04:17    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
值: C:\Documents and Settings\All Users\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:04:18    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:04:19    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-20 11:04:19    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\绿色脱壳破解版.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe" http://Click.4455.in/Click/t.html
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]c:\program files\internet explorer\*

猪头无双

360网盾未知
红伞无视，上报

wjcharles

NIS2011:

类别：已解决的安全风险
日期和时间,风险,活动,状态,推荐的操作,路径 - 文件名
2010/12/20 14:53,高,检测到 绿色脱壳破解版.exe (Suspicious.MH690.A) (检测方: Auto-Protect),已隔离,已解决 - 不采取操作,c:\users\administrator\downloads\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe


c:\users\administrator\downloads\3366小游戏刷分  3366小游戏刷分器\绿色脱壳破解版.exe
____________________________
____________________________
在电脑上的创建时间:
2010/12/20 ( 14:51:20 )
上次使用时间:
2010/12/20 ( 14:53:21 )
启动项:
否
已启动:
否
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
威胁类型: 启发式病毒。 根据恶意软件启发式技术检测威胁。
____________________________
来源
下载自  URL 不可用


来源: 外部介质源文件:
绿色脱壳破解版.exe

____________________________
文件操作
文件: c:\users\administrator\downloads\3366小游戏刷分 3366小游戏刷分器\绿色脱壳破解版.exe
已删除
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

s8706042

已上報趨勢嚕~~