收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 穿透还原病毒若干
1234下一页
返回列表 发新帖
楼主: nazisoft
 收起左侧

[病毒样本] 穿透还原病毒若干

  [复制链接]
Dirk
发表于 2011-3-24 14:39:52 | 显示全部楼层
剩余上报AVAST

评分

参与人数 2人气 +2 收起 理由
ablhr + 1 好久不见
hj5abc + 1 上报辛苦

查看全部评分

回复

举报

jayavira
发表于 2011-3-24 14:43:02 | 显示全部楼层
ess kill13个
由于样本有点多，所以不分析和上报了
回复

举报

594157544
发表于 2011-3-24 14:46:25 | 显示全部楼层
诺顿+毒霸 kill
回复

举报

woyoujj
发表于 2011-3-24 18:15:20 | 显示全部楼层
瑞星除了02号样本全部杀掉
回复

举报

ppy0606
发表于 2011-3-24 18:28:46 | 显示全部楼层
真多....

一个个跑

2011-3-24 18:16:40    从其他进程复制句柄    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: c:\windows\explorer.exe
句柄: (Thread) c:\windows\explorer.exe
规则: [应用程序]*

2011-3-24 18:16:40    从其他进程复制句柄    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: c:\windows\system32\ctfmon.exe
句柄: (Thread) c:\windows\system32\ctfmon.exe
规则: [应用程序]*

2011-3-24 18:16:40    从其他进程复制句柄    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: f:\program files\tencent\qq\bin\qq.exe
句柄: (Thread) f:\program files\tencent\qq\bin\qq.exe
规则: [应用程序]*

2011-3-24 18:16:40    从其他进程复制句柄    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: f:\program files\tencent\qq\bin\txplatform.exe
句柄: (Thread) f:\program files\tencent\qq\bin\txplatform.exe
规则: [应用程序]*

2011-3-24 18:16:40    从其他进程复制句柄    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: f:\program files\ttplayer\ttplayer.exe
句柄: (Thread) f:\program files\ttplayer\ttplayer.exe
规则: [应用程序]*

2011-3-24 18:16:40    从其他进程复制句柄    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: f:\program files\mozilla firefox\firefox.exe
句柄: (Thread) f:\program files\mozilla firefox\firefox.exe
规则: [应用程序]*

2011-3-24 18:16:40    修改文件    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: \Device\NamedPipe\ROUTER
规则: [文件]*

2011-3-24 18:16:40    修改注册表值    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; Proxy*

2011-3-24 18:16:40    删除注册表值    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; Proxy*

2011-3-24 18:16:40    删除注册表值    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; Proxy*

2011-3-24 18:16:40    访问网络    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: UDP [本机 : 1978] ->  [127.0.0.1 : 1978]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-3-24 18:16:40    访问网络    阻止
进程: d:\我的文档\viurs test\样本\样本\狗v6\cf.exe
目标: UDP [本机 : 50597] ->  [222.246.129.80 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

-----------------------------------------------------------------------------------

2011-3-24 18:22:43    创建文件    阻止
进程: d:\我的文档\viurs test\样本\样本\bjd4sx42.exe
目标: C:\WINDOWS\bjd4sx42.exe
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [文件组]文件保护 -> [文件]c:\windows

2011-3-24 18:22:43    创建文件    阻止
进程: d:\我的文档\viurs test\样本\样本\bjd4sx42.exe
目标: C:\WINDOWS\bjd4sx42.exe
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [文件组]文件保护 -> [文件]c:\windows

2011-3-24 18:22:43    创建文件    阻止
进程: d:\我的文档\viurs test\样本\样本\bjd4sx42.exe
目标: C:\WINDOWS\bjd4sx42.exe
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [文件组]文件保护 -> [文件]c:\windows

2011-3-24 18:22:43    创建新进程    阻止
进程: d:\我的文档\viurs test\样本\样本\bjd4sx42.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c del d:\我的文档\VIURST~1\样本\样本\bjd4sx42.exe > nul
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [应用程序]d:\我的文档\viurs test\样本\样本\bjd4sx42.exe -> [子应用程序]c:\windows\system32\cmd.exe

----------------------------------------------------------------------------------

2011-3-24 18:23:56    访问网络    阻止
进程: d:\我的文档\viurs test\样本\样本\userinit.exe
目标: UDP [本机 : 59527] ->  [222.246.129.80 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-3-24 18:23:56    访问网络    阻止
进程: d:\我的文档\viurs test\样本\样本\userinit.exe
目标: TCP [本机 : 1988] ->  [0.0.0.0 : 802]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]


重复的就没跑了，动作差不多


回复

举报

ppy0606
发表于 2011-3-24 18:29:42 | 显示全部楼层
本帖最后由 ppy0606 于 2011-3-24 18:32 编辑

2011-3-24 18:25:26    修改文件    阻止
进程: d:\我的文档\viurs test\dnf最新更新免费外-挂\dnf最新更新免费外-挂\dnf最新更新免费外-挂.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-24 18:25:26    修改文件    阻止
进程: d:\我的文档\viurs test\dnf最新更新免费外-挂\dnf最新更新免费外-挂\dnf最新更新免费外-挂.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-24 18:25:26    修改文件    阻止
进程: d:\我的文档\viurs test\dnf最新更新免费外-挂\dnf最新更新免费外-挂\dnf最新更新免费外-挂.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-24 18:25:26    修改文件    阻止
进程: d:\我的文档\viurs test\dnf最新更新免费外-挂\dnf最新更新免费外-挂\dnf最新更新免费外-挂.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-24 18:25:26    创建新进程    阻止
进程: d:\我的文档\viurs test\dnf最新更新免费外-挂\dnf最新更新免费外-挂\dnf最新更新免费外-挂.exe
目标: d:\我的文档\viurs test\dnf最新更新免费外-挂\dnf最新更新免费外-挂\dnfwg.exe
命令行: "d:\我的文档\viurs test\DNF最新更新免费外-挂\DNF最新更新免费外-挂\dnfwg.exe"
规则: [应用程序]*

2011-3-24 18:25:26    创建新进程    阻止
进程: d:\我的文档\viurs test\dnf最新更新免费外-挂\dnf最新更新免费外-挂\dnf最新更新免费外-挂.exe
目标: d:\我的文档\viurs test\dnf最新更新免费外-挂\dnf最新更新免费外-挂\dnfwg.exe
命令行: "d:\我的文档\viurs test\DNF最新更新免费外-挂\DNF最新更新免费外-挂\dnfwg.exe"
规则: [应用程序]*

-------------------------------------------------------------------------------

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\ROUTER
规则: [文件]*

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\ROUTER
规则: [文件]*

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\ROUTER
规则: [文件]*

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\ROUTER
规则: [文件]*

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\ROUTER
规则: [文件]*

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\ROUTER
规则: [文件]*

2011-3-24 18:27:00    修改注册表值    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; Proxy*

2011-3-24 18:27:00    删除注册表值    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; Proxy*

2011-3-24 18:27:00    删除注册表值    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; Proxy*

2011-3-24 18:27:00    修改注册表值    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; Proxy*

2011-3-24 18:27:00    删除注册表值    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; Proxy*

2011-3-24 18:27:00    删除注册表值    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; Proxy*

2011-3-24 18:27:00    访问网络    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: UDP [本机 : 57398] ->  [222.246.129.80 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-24 18:27:00    修改文件    阻止
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-24 18:27:00    创建新进程    阻止并结束进程
进程: d:\我的文档\viurs test\sex18girl_976_cctv007\sex18girl_976_cctv007\sex18girl_976_cctv007.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe" http://sdsdf.perryokj.info:251/? ... 17b0bfa6b6c&amp;i=ie&t=324&uu=cctv007&9ae0bf3f3d6ec97f6fcb6c7c73c9e17b0bfa6b6c
规则: [应用程序]* -> [子应用程序]c\program files(系统自带) -> [应用程序]c:\program files\internet explorer\iexplore.exe

---------------------------------------------------------------------


回复

举报

瓜皮猫
发表于 2011-3-24 20:15:14 | 显示全部楼层
Thank you for your submission.
The detection for this threat will be included in our next signature update.

sex18girl_976_cctv007.exe - NSIS/TrojanClicker.Agent.BM trojan

Regards,

Dalibor Drzik
Malware Researcher
ESET spol. s r.o.

果然关于Trojan之类的东西，eset处理的还是蛮快的。
回复

举报

留侯
发表于 2011-3-24 20:58:02 | 显示全部楼层
大蜘蛛：
=B4=A9=D1=B8=C9=C1=D1=DC=C9=FA=CE=EF\webcheck.dll packed by UPX
=B4=A9=D1=B8=C9=C1=D1=DC=C9=FA=CE=EF\webcheck.dll probably found virus DLOADER.Trojan

sex18girl_976_cctv007\sex18girl_976_cctv007.exe packed by BINARYRES
sex18girl_976_cctv007\sex18girl_976_cctv007.exe - archive NSIS

DNF=D7=EE=D0=C2=B8=FC=D0=C2=C3=E2=B7=D1=CD=E2=B9=D2\DNF=D7=EE=D0=C2=B8=FC=D0=C2=C3=E2=B7=D1=CD=E2=B9=D2.exe - archive RAR
DNF=D7=EE=D0=C2=B8=FC=D0=C2=C3=E2=B7=D1=CD=E2=B9=D2\DNF=D7=EE=D0=C2=B8=FC=D0=C2=C3=E2=B7=D1=CD=E2=B9=D2.exe/DNF=D7=EE=D0=C2=C3=E2=B7=D1=CD=E2=B9=D2.exe packed by UPX
DNF=D7=EE=D0=C2=B8=FC=D0=C2=C3=E2=B7=D1=CD=E2=B9=D2\DNF=D7=EE=D0=C2=B8=FC=D0=C2=C3=E2=B7=D1=CD=E2=B9=D2.exe/DNF=D7=EE=D0=C2=C3=E2=B7=D1=CD=E2=B9=D2.exe - archive AUTOIT


样本\bjd4sx42.exe 已感染：  BackDoor.Darkshell.77
样本\ccj3mny.exe 已感染：  BackDoor.Darkshell.77
样本\lkd3s34.exe 已感染：  BackDoor.Darkshell.77
样本\lkd42c34.exe 已感染：  BackDoor.Darkshell.77
样本\maoma0.dll - 确定
样本\mop24bmj.exe 已感染：  BackDoor.Darkshell.77
样本\qiuqi0.bat - 确定
样本\qiuqi0.dll 已感染：  Win32.HLLW.Shadow.based
样本\qiuqi0.exe - 确定
样本\upd7.tmp
样本\userinit.exe 已打包，方式： FLY-CODE
样本\userinit.exe - 确定
样本\~FK46.tmp 已打包，方式： UPX
样本\~FK46.tmp 已感染：  Trojan.DownLoad2.14400

样本\狗V6\beep.sys 已感染：  Trojan.DownLoad.12520
样本\狗V6\Cao.ime 已感染：  Trojan.PWS.Wsgame.22668
样本\狗V6\cf.dll 已打包，方式： PESTUB
样本\狗V6\cf.dll - 确定
样本\狗V6\CF.EXE 已打包，方式： VMPROTECT
样本\狗V6\CF.EXE - 压缩文件 BINARYRES
样本\狗V6\CF.EXE/data001 已打包，方式： FLY-CODE
样本\狗V6\CF.EXE/data001 已打包，方式： VMPROTECT
样本\狗V6\CF.EXE/data001 - 确定
样本\狗V6\CF.EXE/data002 已打包，方式： UPX
样本\狗V6\CF.EXE/data002 - 确定
样本\狗V6\CF.EXE - 确定
样本\狗V6\CF2.EXE 已感染：  Trojan.DownLoader1.14994
样本\狗V6\d3d5.dll 已打包，方式： FLY-CODE
样本\狗V6\d3d5.dll 已打包，方式： VMPROTECT
样本\狗V6\d3d5.dll - 确定
样本\狗V6\pcidump.sys 已感染：  Trojan.NtRootKit.2386
样本\狗V6\RjmkttC.dll 已感染：  BackDoor.Siggen.138
样本\狗V6\TesSafe.sys - 确定
样本\狗V6\updater.exe 已打包，方式： ASPACK
样本\狗V6\updater.exe 已感染：  Trojan.MulDrop.31219
样本\狗V6\xvhost.sb - 确定

余下已上报
回复

举报

whf20
发表于 2011-3-24 20:59:23 | 显示全部楼层
本帖最后由 whf20 于 2011-3-24 21:00 编辑

是否能穿最新还原？我主要用冰点7.2或迅闪2010.
回复

举报

nazisoft
 楼主| 发表于 2011-3-24 21:01:46 | 显示全部楼层
回复 19楼 whf20 的帖子

秒穿冰点、迅闪、网维大师，开启驱动防火墙无法穿透
回复

举报

下一页 »
1234下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-6-15 07:18 , Processed in 0.177879 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表