一个游戏模拟器.怀疑捆绑木马.求主防测试

小猫种鱼

http://u.115.com/file/f3fbfdfb1f#
newyx_hundouluo.exe  

ring0biao

建了一个假的ie快捷方式，其它未见有什么

2010-12-29 14:44:09    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsg6.tmp\System.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2010-12-29 14:44:11    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsg6.tmp\BrandingURL.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2010-12-29 14:44:11    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsg6.tmp\InstallOptions.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2010-12-29 14:44:23    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\game\魂斗罗全集\VirtuaNESe.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:28    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\game\魂斗罗全集\uninst.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:29    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsg6.tmp\inetc.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2010-12-29 14:44:31    访问网络    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: TCP [本机 : 1132] ->  [222.245.135.172 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-12-29 14:44:31    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsg6.tmp\blowfish.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2010-12-29 14:44:32    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsg6.tmp\Base64.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2010-12-29 14:44:34    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsg6.tmp\qqxn.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:34    创建文件    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\8LMBOD23\setup[1].exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:35    创建新进程    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
命令行: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsg6.tmp\qqxn.exe
规则: [应用程序]*

2010-12-29 14:44:36    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\opqdwl.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:36    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\lsjqgq.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:36    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\zugqzbq.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:37    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\zugqzbq.bat
规则: [应用程序]*

2010-12-29 14:44:38    修改文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\lsjqgq.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:38    创建文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\xmybwfnw.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:38    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\documents and settings\administrator\local settings\temp\opqdwl.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\opqdwl.exe"
规则: [应用程序]*

2010-12-29 14:44:39    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\opqdwl.exe
目标: C:\WINDOWS\system32\gzyoyl.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2010-12-29 14:44:39    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\opqdwl.exe
目标: C:\WINDOWS\system32\drivers\yzeqp.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2010-12-29 14:44:39    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\yzeqp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2010-12-29 14:44:40    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\yzeqp\Start
值: 0x00000000(0)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2010-12-29 14:44:40    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\yzeqp\ImagePath
值: system32\drivers\yzeqp.sys
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2010-12-29 14:44:40    访问网络    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: UDP [本机 : 1135] ->  [127.0.0.1 : 1135]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-12-29 14:44:41    加载驱动程序    允许
进程: c:\windows\system32\services.exe
目标: c:\windows\system32\drivers\yzeqp.sys
规则: [应用程序]c:\windows\system32\services.exe

2010-12-29 14:44:41    访问网络    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: TCP [本机 : 1136] ->  [125.89.197.2 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-12-29 14:44:41    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\4P4DGDEP\setup[1].exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:42    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\qirdcs.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:42    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\koogoi.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:42    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\tlzctpv.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:42    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\nsg6.tmp\qqxn.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tlzctpv.bat
规则: [应用程序]*

2010-12-29 14:44:43    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\opqdwl.exe
目标: c:\windows\explorer.exe
命令行: explorer.exe
规则: [应用程序]*

2010-12-29 14:44:43    修改文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\koogoi.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:43    创建文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\akkmskvq.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:44    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\documents and settings\administrator\local settings\temp\qirdcs.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\qirdcs.exe"
规则: [应用程序]*

2010-12-29 14:44:45    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\opqdwl.exe
目标: C:\WINDOWS\system32\omebud.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:45    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\opqdwl.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c C:\WINDOWS\system32\omebud.bat
规则: [应用程序]*

2010-12-29 14:44:45    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\qirdcs.exe
目标: c:\windows\system32\attrib.exe
命令行: "C:\WINDOWS\system32\attrib.exe" "C:\Program Files\Microsoft\Internat Explorer" +s
规则: [应用程序]*

2010-12-29 14:44:46    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\qirdcs.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ocfile\shell\open\command
值: explorer "C:\Program Files\Microsoft\Internat Explorer"
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\*\command

2010-12-29 14:44:46    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\qirdcs.exe
目标: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt
值: 0x00000001(1)
规则: [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\*

2010-12-29 14:44:46    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\opqdwl.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:46    向其他进程发送消息    允许
进程: c:\documents and settings\administrator\local settings\temp\qirdcs.exe
目标: c:\windows\system32\csrss.exe
消息: WM_SETTINGCHANGE
规则: [应用程序]*

2010-12-29 14:44:47    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\WINDOWS\system32\omebud.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:47    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\ping.exe
命令行: ping 127.0.0.1
规则: [应用程序]*

2010-12-29 14:44:48    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\qirdcs.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsh9.tmp\System.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2010-12-29 14:44:49    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\qirdcs.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\temp_tmp.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:50    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\qirdcs.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c ""C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\temp_tmp.bat" "
规则: [应用程序]*

2010-12-29 14:44:50    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\qirdcs.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:50    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\temp_tmp.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:52    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsg6.tmp\qqxn.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2010-12-29 14:44:52    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\zugqzbq.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:44:54    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\tlzctpv.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2010-12-29 14:45:00    创建新进程    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe" http://www.newyx.net/?t
规则: [应用程序]*

2010-12-29 14:45:01    修改注册表值    允许
进程: z:\downloads\vir\newyx_hundouluo.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsg6.tmp\BrandingURL.dll
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2010-12-29 14:45:07    向其他进程复制句柄    允许
进程: c:\windows\system32\svchost.exe
目标: c:\program files\internet explorer\iexplore.exe
句柄: (Key) \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96C-E325-11CE-BFC1-08002BE10318}\0000
规则: [应用程序]c:\windows\system32\svchost.exe

2010-12-29 14:45:09    修改注册表值    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\FlashPlayerUpdate
值: C:\WINDOWS\system32\Macromed\Flash\FlashUtil10h_ActiveX.exe -update activex
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\*

2010-12-29 14:45:16    创建新进程    允许
进程: c:\windows\system32\svchost.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe" -Embedding
规则: [应用程序]*

2010-12-29 14:45:26    向其他进程发送消息    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\system32\csrss.exe
消息: WM_SETTINGCHANGE
规则: [应用程序]*

Hey

过卡巴扫描   
to kl

jayavira

to eset

http://samples.nod32.com.hk/inde ... b7e8ec6eb07833a1e63

dalianjhc1986

ess 没什么反映 不过图标不错 小霸王其乐无穷

已被别人提交检测http://samples.eset.com.cn/index.php?a=query&md5=40ddced00093db7e8ec6eb07833a1e63

http://www.virustotal.com/file-scan/report.html?id=dc5208fecc9a0b55aba2719a090a5ce78062b33f9e085dd36a3daeb924533321-1293412538

WeeVee

金山卫士鉴定为安全

Hey

回复 6楼 WeeVee 的帖子

这是明显的木马程序…再次上报金山吧

星晨

BitDefender 上报

WeeVee

回复 7楼 Hey 的帖子

这个懒得管了，卫士不像ESET这样上报方便。

ccccwjl