发一个全盘多重感染样本，顺带请教一个问题

ywsuda

kis两个都保毒

回复 40楼 hansyu 的帖子

我测试下默认...

回复 40楼 hansyu 的帖子

结果出来了,默认可以清除.应该是第一个文件里nimda的恶意代码部分无法特征码识别而是artemis启发,导致整体删除...

wjcharles

sololp 发表于 2011-2-22 14:25
回复 40楼 hansyu 的帖子

结果出来了,默认可以清除.应该是第一个文件里nimda的恶意代码部分无法特征码识别 ...

嘿嘿，三家老牌企业级杀软就是不一样，看看NIS2011的，原样本和Dr.Web解毒后样本都修复，原样本还有系统清毒流程

类别：已解决的安全风险
日期和时间,风险,活动,状态,推荐的操作,路径 - 文件名
2011-02-25 00:55,高,检测到 arswp3.exe (W32.Wapomi.C!inf) (检测方: 自动防护),已隔离,已解决 - 不需要操作,c:\users\administrator\downloads\arswpj\arswp3.exe
2011-02-25 00:50,高,检测到 arswp3.exe.重命名 (W32.Chir.B@mm) (检测方: 自动防护),已隔离,已解决 - 不需要操作,c:\users\administrator\downloads\arswp3.exe\arswp3.exe.重命名





完整路径: c:\users\administrator\downloads\arswp3.exe\arswp3.exe.重命名
____________________________
____________________________
在电脑上的创建时间:
2011-02-25 ( 00:48:39 )
上次使用时间:
2011-02-25 ( 00:50:02 )
启动项:
否
已启动:
否
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
威胁类型: 病毒。 将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。
____________________________
来源
下载自  URL 不可用

源文件:
arswp3.exe.重命名
____________________________
文件操作
文件: c:\users\administrator\appdata\local\temp\~df61c4.tmp
已删除
文件: c:\Users\administrator\downloads\ArSwp3.exe\arswp3.exe.重命名
已删除
____________________________
注册表操作
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->SuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->SuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->SuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->SuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->SuperHidden:0
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->SuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->ShowSuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->ShowSuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->ShowSuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->ShowSuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->ShowSuperHidden:0
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->ShowSuperHidden:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->MinLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->MinLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->MinLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->MinLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->MinLevel:69632
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->MinLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->RecommendedLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->RecommendedLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->RecommendedLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->RecommendedLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->RecommendedLevel:69632
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->RecommendedLevel:69632
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1004:3
已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1004:3
已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1004:3
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1201:3
已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1201:3
已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1201:3
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer->NoDriveTypeAutoRun:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer->NoDriveTypeAutoRun:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer->NoDriveTypeAutoRun:0
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer->NoDriveTypeAutoRun:0
已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL->CheckedValue:1
已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon->Shell:Explorer.exe
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->Hidden:1
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->Hidden:1
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->Hidden:1
已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->Hidden:1
已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->Hidden:1
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->Hidden:1
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->HideFileExt:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->HideFileExt:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->HideFileExt:0
已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->HideFileExt:0
已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->HideFileExt:0
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced->HideFileExt:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1004:3
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1004:3
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1004:3
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-501\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1201:3
已修复
注册表更改: HKEY_USERS\S-1-5-21-3299427050-1592391989-892862250-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1201:3
已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2->1201:3
已修复
____________________________
文件指纹 - SHA:
0585fb765de7dd5c62ee23289fbb3649f56f169281ec07e4c168fac992be4eaa
____________________________
文件指纹 - MD5:
7f1065a3d00b9d572ad04ac5fbad968b
____________________________

jefffire

wjcharles 发表于 2011-2-25 01:17
嘿嘿，三家老牌企业级杀软就是不一样，看看NIS2011的，原样本和Dr.Web解毒后样本都修复，原样本还有系统清 ...

这个流程是对染毒系统的，不是修复样本

klinxun

回复 45楼 jefffire 的帖子

企业级的修复果然强悍。
nis不清楚有没有被感染，扫描出问题修复文件以外，照样修复系统吧……
姐夫，回校没有，在学校折腾什么来着。

jefffire

klinxun 发表于 2011-2-25 13:15
回复 45楼 jefffire 的帖子

企业级的修复果然强悍。

回了，折腾诺顿和虚拟机

jrsmith

Dr.WEB修复之后仍然带毒的文件
mse 2.0
類別: 病毒

描述: 此程式非常危險，並且會透過感染其他檔案來進行複製。

建議動作: 立即移除此軟體。

Security Essentials 已偵測到可能危害隱私權或破壞電腦的程式。您不用移除這些程式，還是可以存取這些程式使用的檔案 (不建議)。若要存取這些檔案，請選取 [允許] 動作，然後按一下 [套用動作]。如果此選項無法使用，請以系統管理員身分登入，或是向安全性系統管理員尋求協助。

項目:
containerfile:D:\Downloads\ArSwpj.rar
file:D:\Downloads\ArSwpj.rar->ArSwp3.exe
webfile:c:\ProgramData\Microsoft\Microsoft Antimalware\LocalCopy\{39A7C930-595F-469D-AF9E-C6489E83662C}-ArSwpj.rar|http://24.tel.115cdn.com/pickdow ... e3137362e39392e3830
webfile:D:\Downloads\ArSwpj.rar|http://24.tel.115cdn.com/pickdow ... e3137362e39392e3830

線上取得此項目的相關資訊。

ytysh

jrsmith 发表于 2011-2-25 13:51
Dr.WEB修复之后仍然带毒的文件
mse 2.0
類別: 病毒

能不能测试一下MSE的解毒能力？

wjcharles

jefffire 发表于 2011-2-25 10:22
这个流程是对染毒系统的，不是修复样本

样本也算修复了啊，看44L图里
貌似nis2011日志里看不出修复与否，但如果有文件剩下而且修改时间也对得上，那就算修复后的文件了