疑似伪QQmusic.exe进程在下载木马，求鉴定

chenyz_aleck

因为我的QQ装在C盘，我确定这是新增的文件，不是我安装的。
事由是这样的，我前两天找了几个pdf转ppt的软件，有强制安装了几个软件，FF，115，风行等，卡巴拦截，但是我放过了。
使用完之后，我就发现这两天老是有卡巴拦截QQmusic.exe下载木马……
我就很奇怪了，用流量监控了下，发现有很意外的流量如图。
跟踪进程位置，新发现……貌似我中了木马下载器……但是全部最大设置，卡巴不报。

这个是在C盘Tencent\QQ\MQQRes目录下的一个较大的文件夹browser，我打包上传了，请大大们有时间看看。里面应该有相当多的样本……
http://41.dc.ftn.qq.com/ftn_handler/f8f6cbe572c4ad02074c7c9cbd298b648ddd45929287a1ab3505fe2389412d73a88cd6074a6d3c8f28e57ceae614f65eb80848697b1e5ccfe3a7d4dee66693f1/browser.rar?k=76656434b8f44ac81a370a371f610b180250520301575a051b570650014c0d55520049550e51011a060150055f530a0e02540107396a3955440a13475c13174557176409&fr=00&&txf_fid=c0ef9508cb32e4ed4be905d4dd3daf0669b8ccb0
提取码 6ed49a97

z2009

过卡巴和360卫士

kafan120

数字网盾 报未知

微点主防报木马

留侯

大蜘蛛clean，已上报！

chenhang_bbk

淡定~·

猪头大队

AVG无视，上报

a6250420

毛豆  没怎么报

ppy0606

2011-01-04 21:21:40    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\viurs test\mqqres\qqmusic.exe
命令行: "d:\我的文档\viurs test\MQQRes\QQMusic.exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]d:\我的文档\*

2011-01-04 21:21:42    修改注册表值    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2011-01-04 21:21:43    修改注册表值    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2011-01-04 21:21:46    修改注册表值    阻止
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\D:\我的文档\viurs test\MQQRes\QQMusic.exe
值: D:\我的文档\viurs test\MQQRes\QQMusic.exe:*:Disabled:Tencent
规则: [注册表组]网络相关设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess\Parameters\FirewallPolicy*

2011-01-04 21:21:46    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:46    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:46    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:46    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:47    修改注册表值    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2011-01-04 21:21:51    结束其他进程    允许
进程: c:\windows\system32\svchost.exe
目标: c:\windows\system32\rundll32.exe
规则: [应用程序]c:\windows\system32\svchost.exe

2011-01-04 21:21:52    修改注册表值    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2011-01-04 21:21:52    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: C:\Documents and Settings\Administrator\Cookies\index.dat
规则: [文件组]限制写入组 -> [文件]?:\documents and settings\*\cookies\*

2011-01-04 21:21:52    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:52    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:53    修改注册表值    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2011-01-04 21:21:53    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:53    修改注册表值    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2011-01-04 21:21:54    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:54    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:54    修改注册表值    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2011-01-04 21:21:54    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:55    修改注册表值    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2011-01-04 21:21:55    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:55    修改文件    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2011-01-04 21:21:55    修改注册表值    阻止
进程: d:\我的文档\viurs test\mqqres\qqmusic.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

s8706042

已上報趨勢嚕~

3好流氓

首先:QQ音乐/音乐盒子/酷狗音乐等都会偷偷上传分享本地音乐...
这个已经是事实了...所以这1点要先注意...

然后,小A全部放行/