病毒样本02 仅供测试使用请勿传播

显示全部楼层 · 发表于 2010-12-24 23:14:36

毒霸扫描结果，等下把完全是病毒的样本发上来

显示全部楼层 · 发表于 2010-12-24 23:22:45

2010-12-24 23:11:37 创建文件    操作:允许
进程路径:F:\virus\病毒\毒霸会员体验中心.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\645MVFLE\103[1].exe
触发规则:所有程序规则->IE临时文件夹设置->?:\Documents and Settings\*\Local Settings\Temporary Internet Files\*.exe

2010-12-24 23:11:44 创建文件    操作:允许
进程路径:F:\virus\病毒\毒霸会员体验中心.exe
文件路径:F:\virus\病毒\103.exe
触发规则:应用程序规则->其它文件设置->F:\*->F:\*.exe

2010-12-24 23:11:49 运行应用程序    操作:允许
进程路径:F:\virus\病毒\毒霸会员体验中心.exe
文件路径:F:\virus\病毒\103.exe
触发规则:所有程序规则->全局设置->?:\*

2010-12-24 23:11:53 运行应用程序    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:F:\virus\病毒\103.exe
命令行:sj.c
触发规则:所有程序规则->全局设置->?:\*

2010-12-24 23:12:00 运行应用程序    操作:阻止
进程路径:F:\virus\病毒\103.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop sharedaccess
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe

2010-12-24 23:12:01 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb93623.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2010-12-24 23:12:12 创建注册表值    操作:阻止
进程路径:F:\virus\病毒\毒霸会员体验中心.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:毒霸会员体验中心
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2010-12-24 23:12:19 运行应用程序    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb93623.exe
命令行:-run
触发规则:所有程序规则->全局设置->?:\*

2010-12-24 23:12:21 运行应用程序    操作:允许
进程路径:C:\Winup\kb93623.exe
文件路径:C:\Winup\kb93623.exe
命令行:-run
触发规则:所有程序规则->全局设置->?:\*

2010-12-24 23:12:22 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
注册表名称:Start Page
更改后:http://so92.com/?
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Main

2010-12-24 23:12:22 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
注册表名称:Start Page
更改后:http://so92.com/?
更改前:http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Main

2010-12-24 23:12:22 删除注册表    操作:使用任务隔离区操作
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel
注册表名称:[Key]
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons*

2010-12-24 23:12:22 创建注册表值    操作:使用任务隔离区操作
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel
注册表名称:{871C5380-42A0-1069-A2EA-08A02B30309D}
触发规则:所有程序规则->其他重要项->*\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons*

2010-12-24 23:12:22 运行应用程序    操作:阻止
进程路径:C:\Winup\kb93623.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu /v {871C5380-42A0-1069-A2EA-08002B30309D} /t REG_DWORD /d 1 /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2010-12-24 23:12:22 创建注册表值    操作:使用任务隔离区操作
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoInternetIcon
触发规则:所有程序规则->资源管理器->*\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

2010-12-24 23:12:22 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{2102E101-20C0-CB00-C020-CDAE13022046}\Shell\1_打开主页(&H)\Command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2010-12-24 23:12:22 创建注册表值    操作:阻止
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{2102E101-20C0-CB00-C020-CDAE13022046}
注册表名称:[Key]
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace*

2010-12-24 23:12:22 创建注册表值    操作:阻止
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{2102E101-20C0-CB00-C020-CDAE13022046}
注册表名称:[Key]
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace*

2010-12-24 23:12:22 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{2102E101-20C0-CB00-C020-CDAE13022046}\Shell\3_删除(&D)\Command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2010-12-24 23:12:22 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\Winup\kb93623.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{2102E101-20C0-CB00-C020-CDAE13022046}\Shell\4_属性(&R)\Command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2010-12-24 23:12:36 运行应用程序    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\WINDOWS\system32\cmd.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2010-12-24 23:12:39 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\cacls.exe
命令行:"C:\Documents and Settings\Administrator\桌面" /g everyone:r
触发规则:所有程序规则->系统程序设置->*\*cacls.exe

2010-12-24 23:12:41 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\cacls.exe
命令行:"C:\Documents and Settings\All Users\桌面"  /g everyone:r
触发规则:所有程序规则->系统程序设置->*\*cacls.exe

2010-12-24 23:12:43 运行应用程序    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\WINDOWS\system32\cmd.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2010-12-24 23:12:45 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\regini.exe
命令行:c:\regset.ini
触发规则:所有程序规则->系统程序设置->*\regini.exe

2010-12-24 23:12:49 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Program Files\nowlist.dat
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*

2010-12-24 23:12:52 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\R1K34EFY\wow[1].exe
触发规则:所有程序规则->IE临时文件夹设置->?:\Documents and Settings\*\Local Settings\Temporary Internet Files\*.exe

2010-12-24 23:12:52 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb37151.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2010-12-24 23:12:57 运行应用程序    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb37151.exe
触发规则:所有程序规则->全局设置->?:\*

2010-12-24 23:13:03 安装全局钩子    操作:阻止并结束进程
进程路径:C:\Winup\kb37151.exe
文件路径:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\687919n02.dll
钩子类型:WH_GETMESSAGE
触发规则:所有程序规则->安装全局钩子->*\Temp\*.dll

2010-12-24 23:13:04 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\89SB3DWF\wd[1].exe
触发规则:所有程序规则->IE临时文件夹设置->?:\Documents and Settings\*\Local Settings\Temporary Internet Files\*.exe

2010-12-24 23:13:04 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb37152.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2010-12-24 23:13:11 运行应用程序    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb37152.exe
触发规则:所有程序规则->全局设置->?:\*

2010-12-24 23:13:13 安装全局钩子    操作:阻止并结束进程
进程路径:C:\Winup\kb37152.exe
文件路径:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\698324n05.dll
钩子类型:WH_GETMESSAGE
触发规则:所有程序规则->安装全局钩子->*\Temp\*.dll

2010-12-24 23:13:15 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\U5PBO57W\tl[1].exe
触发规则:所有程序规则->IE临时文件夹设置->?:\Documents and Settings\*\Local Settings\Temporary Internet Files\*.exe

2010-12-24 23:13:15 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb37153.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2010-12-24 23:13:17 运行应用程序    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb37153.exe
触发规则:所有程序规则->全局设置->?:\*

2010-12-24 23:13:25 安装全局钩子    操作:阻止并结束进程
进程路径:C:\Winup\kb37153.exe
文件路径:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ad552n01.dll
钩子类型:WH_GETMESSAGE
触发规则:所有程序规则->安装全局钩子->*\Temp\*.dll

2010-12-24 23:13:26 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\645MVFLE\mhxy[1].exe
触发规则:所有程序规则->IE临时文件夹设置->?:\Documents and Settings\*\Local Settings\Temporary Internet Files\*.exe

2010-12-24 23:13:26 创建文件    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb37154.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2010-12-24 23:13:43 运行应用程序    操作:允许
进程路径:F:\virus\病毒\103.exe
文件路径:C:\Winup\kb37154.exe
触发规则:所有程序规则->全局设置->?:\*

2010-12-24 23:13:46 安装全局钩子    操作:阻止并结束进程
进程路径:C:\Winup\kb37154.exe
文件路径:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\731361n04.dll
钩子类型:WH_GETMESSAGE
触发规则:所有程序规则->安装全局钩子->*\Temp\*.dll

显示全部楼层 · 发表于 2010-12-24 23:25:49

本帖最后由 huangqian202 于 2010-12-24 23:30 编辑

MSE 双击

Mamutu 双击

卡巴

显示全部楼层 · 发表于 2010-12-24 23:33:47

瑞星没有反应。。上报了。。不知道啥时候有结果。。

显示全部楼层 · 发表于 2010-12-25 00:57:29

显示全部楼层 · 发表于 2010-12-25 01:17:47

还有的什么，我不懂

显示全部楼层 · 发表于 2010-12-25 02:12:15

过avg扫描，实机运行了一下。先是自动关机，重启后avg实时监控发现木马下载器并删除，过一小会，IDP主防发现病毒主体并删除。

显示全部楼层 · 发表于 2010-12-25 02:31:13

红伞杀，过小A。

显示全部楼层 · 发表于 2010-12-25 07:52:27

to金山卫士
已上报

显示全部楼层 · 发表于 2010-12-25 07:55:08

to MSE
https://www.microsoft.com/securi ... 5acbbccf77d&n=1

[病毒样本] 病毒样本02 仅供测试使用请勿传播

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源