好像中招了，特来求助

显示全部楼层 · 发表于 2011-4-10 22:52:05

运行后没反应，直接打开。确实在系统文件夹下释放几个文件。

显示全部楼层 · 发表于 2011-4-10 23:04:55

sanhu35 发表于 2011-4-10 22:30
回复 10楼 nju_virus 的帖子

C:\WINDOWS\system32\SkinH_VB6.dll

前面2个删了

后面2个
C:\WINDOWS\system32\TABCTL32.OCX
C:\WINDOWS\system32\MSINET.OCX
提示需要权限，360也弹框框友情提醒不要误删系统文件

这2个真的需要删除吗？

显示全部楼层 · 发表于 2011-4-10 23:27:25

不规范的程序。不是木马

显示全部楼层 · 发表于 2011-4-10 23:41:22

症状应该不是这个文件引起。直接打开。未见楼主所说症状。

显示全部楼层 · 发表于 2011-4-10 23:52:14

本帖最后由 hddu 于 2011-4-10 23:54 编辑

样本安全，只因：

2011-04-10 23:34:00 创建文件    操作:允许
进程路径:F:\virus\downhelper\downhelper.exe
文件路径:C:\WINDOWS\system32\MSINET.OCX
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.ocx

2011-04-10 23:34:00 运行应用程序    操作:允许
进程路径:F:\virus\downhelper\downhelper.exe
文件路径:C:\WINDOWS\system32\regsvr32.exe
命令行:/s C:\WINDOWS\system32\MSINET.OCX
触发规则:所有程序规则->系统程序设置->%windir%\system32\regsvr32.exe

2011-04-10 23:34:00 创建文件    操作:允许
进程路径:F:\virus\downhelper\downhelper.exe
文件路径:C:\WINDOWS\system32\TABCTL32.OCX
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.ocx

2011-04-10 23:34:01 运行应用程序    操作:允许
进程路径:F:\virus\downhelper\downhelper.exe
文件路径:C:\WINDOWS\system32\regsvr32.exe
命令行:/s C:\WINDOWS\system32\TABCTL32.OCX
触发规则:所有程序规则->系统程序设置->%windir%\system32\regsvr32.exe

2011-04-10 23:34:01 创建文件    操作:允许
进程路径:F:\virus\downhelper\downhelper.exe
文件路径:C:\WINDOWS\system32\SkinH_VB6.dll
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.dll

2011-04-10 23:34:01 运行应用程序    操作:允许
进程路径:F:\virus\downhelper\downhelper.exe
文件路径:C:\WINDOWS\system32\regsvr32.exe
命令行:/s C:\WINDOWS\system32\SkinH_VB6.dll
触发规则:所有程序规则->系统程序设置->%windir%\system32\regsvr32.exe

2011-04-10 23:34:02 创建文件    操作:允许
进程路径:F:\virus\downhelper\downhelper.exe
文件路径:C:\WINDOWS\system32\skinh.she
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*

2011-04-10 23:34:02 运行应用程序    操作:允许
进程路径:F:\virus\downhelper\downhelper.exe
文件路径:C:\WINDOWS\system32\regsvr32.exe
命令行:/s C:\WINDOWS\system32\skinh.she
触发规则:所有程序规则->系统程序设置->%windir%\system32\regsvr32.exe

生成物SkinH_VB6.dll有问题。

显示全部楼层 · 发表于 2011-4-11 09:35:29

过大蜘蛛，文件打了包：
downhelper.exe - archive BINARYRES
downhelper.exe/data003 packed by RLPACK
已上报！

显示全部楼层 · 发表于 2011-4-11 09:41:55

回复 3楼 ywsuda 的帖子

请问大哥开没开交互式保护啊

显示全部楼层 · 发表于 2011-4-11 09:52:40

回复 4楼 nju_virus 的帖子

去救援区下载工具扫个日志看看呗··

显示全部楼层 · 发表于 2011-4-11 09:53:12

回复 5楼左手的帖子

自用规则，没看到创建regsvr32.exe

倒是看到创建其他的了...

显示全部楼层 · 发表于 2011-4-11 10:16:18

回复 29楼 ppy0606 的帖子

我自己加强了自用了。
有些是来自sanhu35兄的想法。
好好体会一下他的规则。你会发现很多精彩的DD。
可惜我的认识也不够。体会的不多。目前来说。我觉得优先级先要玩的好。另外，要善用忽略。
组里的设置别封得太死。关键的地方一个不能漏。这样基本能达到易用和安全性平衡！

[病毒样本] 好像中招了，特来求助

评分

本帖子中包含更多资源

评分