新鲜的样本，除BD外主流全过~~~~~

hilan

回复 19楼 liulangzhecgr 的帖子

衍生物被nod32报FakeAntiSpy

xwhmm

还有bd

xwhmm

第一个..

liulangzhecgr

回复 21楼 cnlan 的帖子

其实,想操作也不懂英文!只认识close ...

根据操作行为来看...不象是好东东!

u1310

小A查不出

hddu

2011-03-31 13:31:26    运行应用程序      操作:允许
进程路径:F:\virus\Invoice_Copy_N[1].03524\Invoice_Copy.exe
文件路径:C:\WINDOWS\system32\svchost.exe
触发规则:应用程序规则->123->F:\virus\Invoice_Copy_N[1].03524\Invoice_Copy.exe


2011-03-31 13:31:44    创建远程线程      操作:允许
进程路径:F:\virus\Invoice_Copy_N[1].03524\Invoice_Copy.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:应用程序规则->123->F:\virus\Invoice_Copy_N[1].03524\Invoice_Copy.exe


2011-03-31 13:31:51    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:F:\virus\Invoice_Copy_N[1].03524\Invoice_Copy.exe
触发规则:所有程序规则->全局设置->?:\*.exe


2011-03-31 13:32:03    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\svchost.exe
文件路径:C:\Program Files\Windows NT\Accessories\wordpad.exe
命令行: "F:\virus\Invoice_Copy_N[1].03524\document.doc"
触发规则:应用程序规则->系统程序->%windir%\System32\svchost.exe->%ProgramFiles%\*.exe

jayavira

19L
衍生物
ess kill

D:\下载文件夹\gog.rar > RAR > gog.exe - Win32/Adware.FakeAntiSpy.AC 应用程序 的变种

liulangzhecgr

hddu 发表于 2011-3-31 13:56
2011-03-31 13:31:26    运行应用程序      操作:允许
进程路径:F:\virus\Invoice_Copy_N[1].03524\Invoic ...

稍等一会...就出现gog.exe!

-----------------------------------
Installation Report: Jwimvxr Qksgetc Lbunufqrla
Generated by InCtrl5, version 1.0.0.0
Install program: F:\downloads\Invoice_Copy_N.03524\Invoice_Copy.exe
3-31-2011 12:52 PM
------------------------------------------------------------
file added: 27
---------------
c:\Documents and Settings\Administrator\Application Data\1.gif
  Date: 3-31-2011 12:45 PM
  Size: 43 bytes
c:\Documents and Settings\Administrator\Application Data\gog.exe
  Date: 3-31-2011 12:45 PM
  Size: 602,112 bytes
f:\downloads\Invoice_Copy_N.03524\document.doc
  Date: 3-31-2011 12:43 PM
  Size: 41,472 bytes
        ... ....

qianyuqx

360wd kill

hddu

回复 28楼 liulangzhecgr 的帖子

俺等了十五分钟了，不见gog.exe出现。