一只鬼影及其下载的东西

显示全部楼层 · 发表于 2011-4-10 19:23:06

2011-4-10 19:17:16 创建文件阻止
进程: d:\我的文档\virus test\safedrvsss\safedrvsss.exe
目标: C:\Program Files\Common Files\SafeDrvsss.exe
规则: [应用程序组]自用程序(陌生程序自写规则) -> [文件组]文件保护 -> [文件]?:\program files\*

2011-4-10 19:17:16 创建文件阻止
进程: d:\我的文档\virus test\safedrvsss\safedrvsss.exe
目标: C:\Program Files\Common Files\SafeDrvsss.exe
规则: [应用程序组]自用程序(陌生程序自写规则) -> [文件组]文件保护 -> [文件]?:\program files\*

2011-4-10 19:17:17 修改文件阻止
进程: d:\我的文档\virus test\safedrvsss\safedrvsss.exe
目标: \Device\NamedPipe\SfcApi
规则: [文件]*

2011-4-10 19:17:17 修改文件阻止
进程: d:\我的文档\virus test\safedrvsss\safedrvsss.exe
目标: \Device\NamedPipe\SfcApi
规则: [文件]*

2011-4-10 19:17:17 安装驱动程序或服务阻止
进程: d:\我的文档\virus test\safedrvsss\safedrvsss.exe
目标: efbrwa
文件路径: C:\DOCUME~1\9eyes.PPY\LOCALS~1\Temp\~efbrwa.txt
规则: [应用程序]*

2011-4-10 19:17:17 启动驱动程序或服务阻止
进程: d:\我的文档\virus test\safedrvsss\safedrvsss.exe
规则: [应用程序]*

2011-4-10 19:17:17 创建新进程阻止并结束进程
进程: d:\我的文档\virus test\safedrvsss\safedrvsss.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c erase /F "D:\我的文档\virus test\SafeDrvsss\SafeDrvsss.exe" > nul
规则: [应用程序]* -> [子应用程序]c:\windows\*
------------------------------------------------------------------------

2011-4-10 19:18:15 修改注册表值阻止
进程: d:\我的文档\virus test\autoqiji\autoqiji.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\autoqiji.exe
值: "D:\我的文档\virus test\autoqiji\autoqiji.exe"
规则: [应用程序组]自用程序(陌生程序自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*
----------------------------------------------------------------------

其他的都一样...

显示全部楼层 · 发表于 2011-4-10 21:32:27

2011-04-10 21:06:16 创建文件    操作:允许
进程路径:F:\virus\SafeDrvsss\SafeDrvsss.exe
文件路径:C:\Documents and Settings\Administrator\SafeDrvsss.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*

2011-04-10 21:06:16 安装服务或者驱动    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\~fkghk.txt
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->?:\*

2011-04-10 21:06:16 加载驱动程序    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
驱动路径:C:\Documents and Settings\Administrator\Application Data\~fkghk.txt
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->?:\*

2011-04-10 21:06:17 创建文件    操作:允许
进程路径:F:\virus\SafeDrvsss\SafeDrvsss.exe
文件路径:C:\Program Files\Common Files\SafeDrvsss.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\Common Files\*

2011-04-10 21:06:19 创建文件    操作:允许
进程路径:C:\Program Files\Common Files\SafeDrvsss.exe
文件路径:C:\Documents and Settings\Administrator\SafeDrvsss.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*

2011-04-10 21:06:19 安装服务或者驱动    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\~jqpdr.txt
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->?:\*

2011-04-10 21:06:19 创建注册表值    操作:允许
进程路径:C:\Program Files\Common Files\SafeDrvsss.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
注册表名称:[Key]
触发规则:所有程序规则->自动运行->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run*

2011-04-10 21:06:19 加载驱动程序    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
驱动路径:C:\Documents and Settings\Administrator\Application Data\~jqpdr.txt
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->?:\*

2011-04-10 21:06:19 创建注册表值    操作:允许
进程路径:C:\Program Files\Common Files\SafeDrvsss.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
注册表名称:SafeDrvsss
触发规则:所有程序规则->自动运行->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run*

2011-04-10 21:06:20 加载驱动程序    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
驱动路径:C:\Documents and Settings\Administrator\Local Settings\Temp\~gftpsj.txt
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->?:\Documents and Settings\*\Local Settings\Temp\*

2011-04-10 21:06:20 运行应用程序    操作:允许
进程路径:F:\virus\SafeDrvsss\SafeDrvsss.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c erase /F "F:\virus\SafeDrvsss\SafeDrvsss.exe" > nul
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

重启后顺利进入系统，检测，没有发现MBR被修改。

显示全部楼层 · 发表于 2011-4-10 22:55:32

已上报趋势~
kill 2 virus (TROJ+Mal)

显示全部楼层 · 发表于 2011-4-10 23:04:09

本帖最后由 hddu 于 2011-4-11 00:23 编辑

退出EQ及杀软，运行样本，十分钟后重启，系统在进入“欢迎XX”界面静止不动，用任务管理器查看，进程explorer.exe没有启动，用任务管理器创建新任务－浏览启动explorer.exe，无效，explorer.exe出事了，继续用任务管理器创建新任务－浏览启动F:\GHOSTEXP\GHOSTEXP\explorer.exe，系统顺利进入，连接网络，启动金山卫士对所有盘扫描，清除了病毒，检测MBR，没有发现被修改，退出EQ，用F:\GHOSTEXP\GHOSTEXP\explorer.exe替换c:\windows\explorer.exe，重启，系统顺利进入，再次启动金山卫士对所有盘扫描，没有发现病毒。
病毒破坏情况：
影像劫持，破坏explorer.exe，下载病毒，在每个盘下创建exe文件、inf文件。

显示全部楼层 · 发表于 2011-4-10 23:04:24

卡巴：
1 Trojan.Win32.Buzus.fwji
2、3、4 HEUR:Trojan-Downloader.Win32.Generic

显示全部楼层 · 发表于 2011-4-11 08:51:34

大蜘蛛查杀了母体，衍生物全部都clean，已上报！

显示全部楼层 · 发表于 2011-4-11 08:54:04

9L，大蜘蛛发现一个：
4\guagua.exe - archive RAR
4\guagua.exe/360.exe packed by FLY-CODE
4\guagua.exe/360.exe - OK
4\guagua.exe/autogg.exe - OK
4\guagua.exe/Sunday.dll packed by NSPACK
4\guagua.exe/Sunday.dll - OK
4\guagua.exe - OK

4\pptv.exe packed by UPX
4\pptv.exe probably found virus DLOADER.Trojan

4\qiji.exe - archive RAR
4\qiji.exe/Sunday.dll packed by NSPACK
4\qiji.exe/Sunday.dll - OK
4\qiji.exe/360.exe packed by FLY-CODE
4\qiji.exe/360.exe - OK
4\qiji.exe/autoqiji.exe - OK
4\qiji.exe - OK

4\yese.exe - archive RAR
4\yese.exe/autoyese.exe - OK
4\yese.exe/Sunday.dll packed by NSPACK
4\yese.exe/Sunday.dll - OK
4\yese.exe/360.exe packed by FLY-CODE
4\yese.exe/360.exe - OK
4\yese.exe - OK

余下已上报

显示全部楼层 · 发表于 2011-4-11 22:20:47

今天处理过感染这种病毒的机子，清除后，竟然恢复不了系统，重装也不行。折腾了半天，发现它还会写满还原卡的空间，　因而导致的。

显示全部楼层 · 发表于 2011-4-11 22:23:47

2011/4/11 22:21:20 HTTP 过滤器文件 http://bbs.kafan.cn/forum-attach ... kzfDUwNDIwNg==.html Win32/AutoRun.Delf.EP 蠕虫的变种连接中断 - 已隔离 CSIOSI-PC\CSIOSI 通过应用程序访问 web 时检测到威胁: C:\Program Files\Internet Explorer\iexplore.exe.

显示全部楼层 · 发表于 2011-4-11 22:24:32

2011/4/11 22:22:02 HTTP 过滤器文件 http://bbs.kafan.cn/forum-attach ... kzfDUwNDIwNg==.html 未查明的 NewHeur_PE 病毒连接中断 - 已隔离 CSIOSI-PC\CSIOSI 通过应用程序访问 web 时检测到威胁: C:\Program Files\Internet Explorer\iexplore.exe.
2011/4/11 22:21:59 HTTP 过滤器文件 http://bbs.kafan.cn/forum-attach ... kzfDUwNDIwNg==.html 未查明的 NewHeur_PE 病毒连接中断 - 已隔离 CSIOSI-PC\CSIOSI 通过应用程序访问 web 时检测到威胁: C:\Program Files\Internet Explorer\iexplore.exe.
2011/4/11 22:21:56 HTTP 过滤器文件 http://bbs.kafan.cn/forum-attach ... kzfDUwNDIwNg==.html 未查明的 NewHeur_PE 病毒连接中断 - 已隔离 CSIOSI-PC\CSIOSI 通过应用程序访问 web 时检测到威胁: C:\Program Files\Internet Explorer\iexplore.exe.

[病毒样本] 一只鬼影及其下载的东西

本帖子中包含更多资源

浏览过的版块