有点诡异的样本[样本创建和被修改的文件一起打包上传]

显示全部楼层 · 发表于 2011-4-12 13:08:51

mse kingsoft kill

显示全部楼层 · 发表于 2011-4-12 13:12:59

山山两个都报木马，，，

显示全部楼层 · 发表于 2011-4-12 13:20:05

小A 杀之

显示全部楼层 · 发表于 2011-4-12 13:27:38

回复 10楼 liulangzhecgr 的帖子

晕死···

那回家得谨慎点···

显示全部楼层 · 发表于 2011-4-12 13:39:06

这么犀利？我就凑热闹了

显示全部楼层 · 发表于 2011-4-12 13:40:04

Norton kill

显示全部楼层 · 发表于 2011-4-12 13:41:29

2011-04-12 13:34:42 创建文件    操作:允许
进程路径:F:\virus\新建文件夹\复件 326d5534.exe
文件路径:C:\42160be3.exe
触发规则:所有程序规则->全局设置->C:\*.exe

2011-04-12 13:34:45 创建文件    操作:允许
进程路径:F:\virus\新建文件夹\复件 6fe86721.exe
文件路径:C:\00725fd4.exe
触发规则:所有程序规则->全局设置->C:\*.exe

2011-04-12 13:34:47 创建文件    操作:允许
进程路径:C:\42160be3.exe
文件路径:C:\Documents and Settings\Infotmp.txt
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*

2011-04-12 13:34:47 创建文件    操作:允许
进程路径:C:\42160be3.exe
文件路径:C:\WINDOWS\system32\00EF046C.tmp
触发规则:所有程序规则->WINDOWS临时文件设置->%windir%\*.tmp

2011-04-12 13:34:48 加载库文件    操作:阻止
进程路径:C:\WINDOWS\explorer.exe
文件路径:C:\WINDOWS\system32\00EF046C.tmp
触发规则:应用程序规则->加载库文件阻止设置(三)->%SystemDrive%\*->*\*.tmp

2011-04-12 13:34:51 修改文件    操作:阻止并结束进程
进程路径:C:\42160be3.exe
文件路径:C:\WINDOWS\system32\appmgmts.dll
触发规则:所有程序规则->需要保护的文件->%windir%\system32\appmgmts.dll

2011-04-12 13:35:10 创建文件    操作:允许
进程路径:C:\00725fd4.exe
文件路径:C:\WINDOWS\system32\03E8046C.tmp
触发规则:所有程序规则->WINDOWS临时文件设置->%windir%\*.tmp

2011-04-12 13:35:14 修改文件    操作:阻止并结束进程
进程路径:C:\00725fd4.exe
文件路径:C:\WINDOWS\system32\appmgmts.dll
触发规则:所有程序规则->需要保护的文件->%windir%\system32\appmgmts.dll

2011-04-12 13:35:16 创建文件    操作:允许
进程路径:F:\virus\新建文件夹\复件 326d5534.exe
文件路径:C:\WINDOWS\system32\11C9046C.tmp
触发规则:所有程序规则->WINDOWS临时文件设置->%windir%\*.tmp

2011-04-12 13:35:20 修改文件    操作:阻止并结束进程
进程路径:F:\virus\新建文件夹\复件 326d5534.exe
文件路径:C:\WINDOWS\system32\appmgmts.dll
触发规则:所有程序规则->需要保护的文件->%windir%\system32\appmgmts.dll

2011-04-12 13:35:20 修改文件    操作:阻止
进程路径:F:\virus\新建文件夹\复件 326d5534.exe
文件路径:C:\WINDOWS\system32\qmgr.dll
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.dll

2011-04-12 13:35:38 创建文件    操作:允许
进程路径:F:\virus\新建文件夹\复件 6fe86721.exe
文件路径:C:\WINDOWS\system32\1337046C.tmp
触发规则:所有程序规则->WINDOWS临时文件设置->%windir%\*.tmp

2011-04-12 13:35:42 修改文件    操作:阻止并结束进程
进程路径:F:\virus\新建文件夹\复件 6fe86721.exe
文件路径:C:\WINDOWS\system32\appmgmts.dll
触发规则:所有程序规则->需要保护的文件->%windir%\system32\appmgmts.dll

显示全部楼层 · 发表于 2011-4-12 13:59:22

大蜘蛛：
复件 326d5534.exe - infected with Win32.HLLP.Protil.1
复件 6fe86721.exe - infected with Win32.HLLP.Protil.1

复件 326d5534.exe - infected with Trojan.Siggen2.5874
复件 6fe86721.exe - infected with Trojan.Siggen2.5874

显示全部楼层 · 发表于 2011-4-12 14:00:57

回复 17楼 hddu 的帖子

修改的文件:

创建的文件:

回到系统检查:

显示全部楼层 · 发表于 2011-4-12 14:14:54

同一种病毒
ess kill

D:\下载文件夹\复件 326d5534.rar > RAR > 复件 326d5534.exe - Win32/Wapomi.AA 病毒
D:\下载文件夹\复件 6fe86721.rar > RAR > 复件 6fe86721.exe - Win32/Wapomi.AA 病毒

[病毒样本] 有点诡异的样本[样本创建和被修改的文件一起打包上传]

本帖子中包含更多资源