华西BBS主页被挂马

The EQs

又是ANI。。实在很无聊。。挂ANI挂疯的了？？等暑假做ANI测试

小邪邪

真没意思，老古董ANI，咖啡杀了一个

woai_jolin

现在怎么又流行挂ANI 了啊
我已经发现2个网站了

mofunzone

有什么杀什么——antivir

Starting the file scan:

Begin scan in 'C:\Documents and Settings\Administrator\My Documents\okt.rar'
C:\Documents and Settings\Administrator\My Documents\
  okt.rar
    [0] Archive type: RAR
    --> okt.exe
        [DETECTION] Is the Trojan horse TR/Crypt.NSPI.Gen
        [WARNING]   Infected files in archives cannot be repaired!
        [INFO]      The file was deleted!
Begin scan in 'C:\Documents and Settings\Administrator\My Documents\my.c'
C:\Documents and Settings\Administrator\My Documents\
  my.c
      [DETECTION] Contains signature of the exploits EXP/Ani.Gen
      [INFO]      The file was deleted!

wangjay1980

detected: virus Trojan.Generic (modification)        File: C:\Documents and Settings\Owner\×ÀÃæ\okt.rar/okt.exe//NSPack

wangjay1980

detected: virus Trojan.Generic (modification)        File: C:\Documents and Settings\Owner\×ÀÃæ\okt.rar/okt.exe//NSPack

a256886572008

運行okt.exe，發現下列行為，被EQ-Secure RC1攔截!
--------------
2007-06-10 15:46:57    運行應用程序      操作:允許
進成路徑:C:\WINDOWS\Explorer.EXE
文件路徑:D:\桌面\virus\okt\okt.exe
规则:應用程序規則->系統程序->%windir%\Explorer.EXE


2007-06-10 15:47:04    創建文件      操作:阻止
進成路徑:D:\桌面\virus\okt\okt.exe
文件路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\zlsb.exe
规则:所有程序規則->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-10 15:47:04    創建文件      操作:阻止
進成路徑:D:\桌面\virus\okt\okt.exe
文件路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\zlsb.exe
规则:所有程序規則->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-10 15:47:05    創建文件      操作:阻止
進成路徑:D:\桌面\virus\okt\okt.exe
文件路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\zlsb.exe
规则:所有程序規則->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-10 15:47:05    创建注册表值      操作:阻止
進成路徑:D:\桌面\virus\okt\okt.exe
註冊表路徑:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
註冊表名稱:RealUpdate
注册表数据:C:\DOCUME~1\HUNGJU~1\LOCALS~1\Temp\zlsb.exe
规则:所有程序規則->係統自動運行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2007-06-10 15:47:39    創建文件      操作:阻止
進成路徑:D:\桌面\virus\okt\okt.exe
文件路徑:D:\桌面\virus\okt\_deleteme.bat
规则:黑名單->In Side->*.bat

------------------------------------------------------------------------------------------------
1.他會在下列路徑產生zlsb.exe
   C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\
2.他會创建注册表值
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   RealUpdate
   C:\DOCUME~1\HUNGJU~1\LOCALS~1\Temp\zlsb.exe
3.他會在下列路徑產生_deleteme.bat
   D:\桌面\virus\okt\
4.運行時，被Comodo Firewall攔截！



和剛才的zlsb.exe的行為一樣！