一个，我没上报，不知是否为毒。有兴趣的拿去玩玩。我没虚拟机

猪头无双

AVG MISS，360网盾——安全

瓜皮猫

hujiwa 发表于 2011-1-2 13:16
回复 8楼 三生缘石 的帖子

呵呵是滴~。我刚才实机运行了下样本，有那些网址在IE收藏夹里.

沙盘应该能看出来的、
不过我不精通沙盘，所以我没看出来大的

hujiwa

回复 12楼 三生缘石 的帖子

貌似还送我了 个这个{78AE2D63-AB8A-9AD7-8888-86A33833C94B}

hansyu

miss,to avast!

XMonster

对象被Trojan.VBS.Agent.lt感染

hujiwa

回复 15楼 dm34343667 的帖子

正解，我把样本的代码都贴在一楼了。
第一行分明写着：<scriptlanguage=VBScript.Encode>

hx1997

启动进程：
系统默认浏览器
xcopy.exe

启动服务：
WMI

在收藏夹(Favorites)中创建URL快捷方式
在收藏夹下级文件夹“链接”中创建URL快捷方式
在快速启动栏内添加"Opera.lnk"和"启动 Internet Explorer 浏览器.lnk"

创建文件：
D:\VVolume\desktop.ini
D:\Desktop.ini\tmp.hta

奥古斯都

毒霸不报。

zuo

2011-1-2 17:48:33    修改注册表值    阻止
进程: c:\program files\internet explorer\iexplore.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Locked
值: 0x00000001(1)
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Internet explorer\Toolbar

2011-1-2 17:48:35    创建注册表项    阻止
进程: c:\windows\system32\mshta.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu
规则: [注册表组]系统关键设置保护(询问) -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons

2011-1-2 17:48:35    创建注册表项    阻止
进程: c:\windows\system32\mshta.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu
规则: [注册表组]系统关键设置保护(询问) -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons

2011-1-2 17:48:36    修改注册表值    阻止
进程: c:\windows\system32\mshta.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page
值: http://www.ixmtz.info
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Internet explorer\Main; Start Page

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\hao123网址之家.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\2345网址大全.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\小游戏大全.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\随机视频聊天.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\单机游戏之家.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\★淘宝网特卖会.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\黄瓜电影网.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\当当网.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\异性交友中心.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\彩票中奖查询.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\hao123网址之家.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\2345网址大全.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\小游戏大全.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\随机视频聊天.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\单机游戏之家.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\★淘宝网特卖会.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\黄瓜电影网.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\当当网.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\异性交友中心.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    创建文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Favorites\链接\彩票中奖查询.url
规则: [文件组]系统文件夹写保护(阻止创建) -> [文件]*\favorites\*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    底层键盘操作    阻止
进程: c:\windows\system32\mshta.exe
规则: [应用程序]*

2011-1-2 17:48:36    删除文件    阻止
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk
规则: [文件组]系统文件加强型保护(防修改) -> [文件]*; *internet explorer*.lnk

2011-1-2 17:48:36    修改注册表值    阻止并结束进程
进程: c:\windows\system32\mshta.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
值: Explorer.exe D:\VVolume
规则: [注册表组]注册表启动项保护(结束进程) -> [注册表]*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon; Shell

2011-1-2 17:48:37    修改注册表值    阻止
进程: c:\program files\internet explorer\iexplore.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\NOTEPAD.EXE
值: 记事本
规则: [注册表组]系统关键设置保护(阻止) -> [注册表]*\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache

qw110120789

ESET---安全
金山卫士---安全
可牛---安全
在线检测：
8%的杀软(3/36)报告发现病毒
http://www.virscan.org/report/db93b996b4e0f5791ad33f00b9603045.html