可疑木马 贝壳报未知 上传失败

jayavira

ess kill

D:\下载文件夹\yh.rar > RAR > yh.exe - Win32/StartPage.OBA 特洛伊木马 的变种

liulangzhecgr

现在。。。

fatezero

KIS
检测到威胁: Trojan.Win32.KillAV.hdj        E:\download\yh.exe/ASPack/data0000.res/ASPack               

kinkids

Kaspersky Internet Security 2011，
掃瞄偵測為【Trojan.Win32.KillAV.hdj】，
已進行隔離/刪除動作。

掃瞄偵測到1個可疑檔案，--個 Kaspersky Cloud，--個啟發，1個特徵碼，一隻病毒一條特徵碼，傻眼，囧rz，
剩餘--個文件MISS，無威脅可疑，已提交至 Kaspersky。

liuda0331

小A网页拦截

hansyu

PCAV miss

ljy881227

2011-1-20 16:49:40    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\share\bez\yh\yh.exe
命令行: "C:\share\bez\yh\yh.exe"
规则: [应用程序]*

2011-1-20 16:49:44    创建新进程    允许
进程: c:\share\bez\yh\yh.exe
目标: c:\windows\regedit.exe
命令行: C:\WINDOWS\regedit.exe /S C:\WINDOWS\system32\msscp.reg
规则: [应用程序]*

2011-1-20 16:49:45    删除注册表项    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Advanced\*

2011-1-20 16:49:46    修改注册表值    允许
进程: c:\windows\regedit.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\QQ
值: D:\Program\3609\QQ.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\*

2011-1-20 16:49:46    删除注册表项    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Advanced\*

2011-1-20 16:49:47    删除注册表项    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Advanced\*

2011-1-20 16:49:47    修改注册表值    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden
值: 0x00000001(1)
规则: [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\*

2011-1-20 16:49:48    修改注册表值    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\SuperHidden
值: 0x00000000(0)
规则: [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\*

2011-1-20 16:49:49    创建新进程    允许
进程: c:\share\bez\yh\yh.exe
目标: c:\share\bez\yh\yh.exe
命令行: C:\share\bez\yh\yh.exe
规则: [应用程序]*

2011-1-20 16:49:49    修改注册表值    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}\Shell\属性(&R)\Command
值: Rundll32.exe Shell32.dll,Control_RunDLL Inetcpl.cpl
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\*\command

2011-1-20 16:49:50    修改注册表值    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}\Shell\删除(&D)\Command
值: Rundll32.exe
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\*\command

2011-1-20 16:49:50    修改注册表值    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}\Shell\重命名(&M)\Command
值: Rundll32.exe
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\*\command

2011-1-20 16:49:51    修改注册表值    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C1A8AF25-1257-101B-8FB0-0020AF039CA8}\Shell\Open(&O)\Command
值: iexplore.exe C:\WINDOWS\Web\index.html
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\*\command

2011-1-20 16:49:51    修改注册表值    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
值: http://www.13373.cn
规则: [注册表组]IE浏览器设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\*

2011-1-20 16:49:52    修改注册表值    允许
进程: c:\share\bez\yh\yh.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\Start Page
值: http://www.13373.cn
规则: [注册表组]IE浏览器设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\*

timhas266

掃描開始: Thursday, 20 January, 2011  19:29

開始檔案掃描:

開始掃描 'C:\Documents and Settings\Tim\桌面\test\yh.rar'
C:\Documents and Settings\Tim\桌面\test\yh.rar
[0] 封存類型: RAR
  [偵測]        是 TR/Killav.hdj.1 特洛伊木馬程式
  --> yh.exe
    --> Object
      [2] 封存類型: RSRC
--> Object
  [偵測]        是 TR/Killav.hdj.1 特洛伊木馬程式
    [注意]        已建立備份 '4784bc2a.qua' (隔離區)
    [注意]        檔案已刪除!


掃描結束: Thursday, 20 January, 2011  19:30
已使用時間: 01:18 分鐘

已完成全部的掃描。

      0 掃描的目錄
      2 個檔案已掃描
      1 個已發現的病毒和/或有害的程式
      0 檔案已歸類為可疑
      1 個檔案已刪除
      0 個病毒和有害的程式已修復
      1 檔案已移至隔離區
      0 檔案已重新命名
      0 無法掃描檔案
      1 無疑慮的檔案
      1 已掃描封存
      0 警告
      1 注意

zuo

2011-1-20 20:14:43    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\yh\yh.exe
目标: C:\WINDOWS\system32\msscp.reg
规则: [文件组]文件安全读写规则(询问创建) -> [文件]c:\windows\system32; *.*

2011-1-20 20:14:44    创建新进程    阻止
进程: c:\documents and settings\administrator\桌面\yh\yh.exe
目标: c:\windows\system32\dwwin.exe
命令行: C:\WINDOWS\system32\dwwin.exe -x -s 240
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\dwwin.exe

2011-1-20 20:14:44    调试其他进程    阻止
进程: c:\windows\system32\drwtsn32.exe
目标: c:\documents and settings\administrator\桌面\yh\yh.exe
规则: [应用程序]*

s8706042

已上報趨勢嚕~