木马一只，过绝大部分主流杀软，微点主防可防可杀[VirScan:(8/36)22%]

红袖小乱

木马一只，差点中招了，手快点了。。。过nod32，微点主防可防可杀

当前目录下释放temp.bin，以及C:\PROGRAM FILES\COMMON FILES\CTHELPER.EXE 和 C:\PROGRAM FILES\COMMON FILES\MICROSOFT\CTHELPER.EXE

木马主程序会连接 福建ip：218.6.8.115

VirScan 结果 ：22%的杀软(8/36)报告发现病毒





Searching...
CTHELPER.EXE

蝉鸣时

To ESET.

红心王子

kill all [:26:]

汽车人

to kis

jobking2006

金山密保拦截

ccccwjl

360木马防火墙可防

幸福的猪猪

根据卡巴斯基的相关主防日志，可以初步判断此样本是否存在恶意行为。

1.试图在注册表的“开机启动项”写入相关键值，以便其开机运行。


其还试图连接此网络地址：down2.alibaba99.com ；把此地址作为关键词，进行搜索。。。


可以搜索到与此域名相关的信息：
hxxp://down2.alibaba99.com/x0526/webinfs.exe ；点击此连接下载时，卡巴斯基予以拦截。


p.s. 此法不能通用。

zuo

2011-1-8 11:39:49    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\1012[1]\1012.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cache

2011-1-8 11:39:50    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\1012[1]\1012.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cookies

2011-1-8 11:39:50    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\1012[1]\1012.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; History

2011-1-8 11:39:51    从其他进程复制句柄    阻止
进程: c:\windows\system32\svchost.exe
目标: c:\documents and settings\administrator\桌面\1012[1]\1012.exe
句柄: (Key) \REGISTRY\USER\S-1-5-21-57989841-842925246-854245398-500\Software\Microsoft\Windows NT\CurrentVersion\Network\Location Awareness
规则: [应用程序]c:\windows\system32\svchost.exe

2011-1-8 11:39:51    访问网络    阻止
进程: c:\documents and settings\administrator\桌面\1012[1]\1012.exe
目标: TCP [本机 : 1298] ->  [202.102.110.204 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-1-8 11:39:52    访问网络    阻止
进程: c:\documents and settings\administrator\桌面\1012[1]\1012.exe
目标: TCP [本机 : 1299] ->  [183.61.2.50 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

留侯

大蜘蛛MISS，已上报

fatezero

105350280_364644547_1012.exe_ - Trojan.Win32.FlyStudio.aej,