MP3 VIRUS(4.20 更新 17楼）

wmcxdb

2011-4-20 12:26:02    修改注册表值    阻止
进程: f:\下载\moduloa\moduloa.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\HhvfufW
值: F:\下载\moduloa\moduloa.exe
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2011-4-20 12:26:02    创建文件夹    允许
进程: f:\下载\moduloa\moduloa.exe
目标: C:\Program Files\Arquivos comuns
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [文件]c:\program files; arquivos comuns

2011-4-20 12:26:02    创建文件夹    允许
进程: f:\下载\moduloa\moduloa.exe
目标: C:\Program Files\Arquivos comuns\JmvxacN
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [文件]c:\program files\arquivos comuns

2011-4-20 12:26:02    创建文件夹    允许
进程: f:\下载\moduloa\moduloa.exe
目标: C:\WINDOWS\media\EepiuhP
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [文件]c:\windows\media; eepiuhp

2011-4-20 12:26:02    修改文件    允许
进程: f:\下载\moduloa\moduloa.exe
目标: F:\下载\moduloa\moduloa.exe
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [文件]f:\下载\moduloa; moduloa.exe

2011-4-20 12:26:02    创建文件    阻止
进程: f:\下载\moduloa\moduloa.exe
目标: F:\下载\moduloa\RvxpbrM
规则: [应用程序组]●研磨 -> [文件]*

2011-4-20 12:26:12    修改文件    允许
进程: f:\下载\moduloa\moduloa.exe
目标: C:\WINDOWS\media\NewIcon.ico
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [文件]c:\windows\media; newicon.ico

2011-4-20 12:26:32    访问网络    允许
进程: f:\下载\moduloa\moduloa.exe
目标: TCP [本机 : 1212] ->  [50.17.185.47 : 80 (http)]
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-4-20 12:26:34    访问网络    允许
进程: f:\下载\moduloa\moduloa.exe
目标: TCP [本机 : 1213] ->  [174.142.79.83 : 80 (http)]
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-4-20 12:26:36    访问网络    允许
进程: f:\下载\moduloa\moduloa.exe
目标: TCP [本机 : 1214] ->  [200.98.197.84 : 80 (http)]
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-4-20 12:27:04    创建文件    阻止
进程: f:\下载\moduloa\moduloa.exe
目标: C:\Program Files\Arquivos comuns\JmvxacN\HhvfufW.exe
规则: [应用程序组]●研磨 -> [文件组]文件保护 -> [文件]?:\program files\*

2011-4-20 12:27:04    访问网络    允许
进程: f:\下载\moduloa\moduloa.exe
目标: TCP [本机 : 1216] ->  [200.98.197.84 : 80 (http)]
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-4-20 12:27:30    创建文件    阻止
进程: f:\下载\moduloa\moduloa.exe
目标: C:\Program Files\Arquivos comuns\JmvxacN\JujxkwQ.exe
规则: [应用程序组]●研磨 -> [文件组]文件保护 -> [文件]?:\program files\*

2011-4-20 12:27:30    访问网络    允许
进程: f:\下载\moduloa\moduloa.exe
目标: TCP [本机 : 1217] ->  [200.98.197.84 : 80 (http)]
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-4-20 12:28:12    创建文件    阻止
进程: f:\下载\moduloa\moduloa.exe
目标: C:\WINDOWS\media\EepiuhP\mod01.mp3
规则: [应用程序组]●研磨 -> [文件]*

2011-4-20 12:28:12    访问网络    允许
进程: f:\下载\moduloa\moduloa.exe
目标: TCP [本机 : 1218] ->  [200.98.197.84 : 80 (http)]
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-4-20 12:28:49    创建文件    阻止
进程: f:\下载\moduloa\moduloa.exe
目标: C:\WINDOWS\media\EepiuhP\mod03.mp3
规则: [应用程序组]●研磨 -> [文件]*

2011-4-20 12:28:49    访问网络    允许
进程: f:\下载\moduloa\moduloa.exe
目标: TCP [本机 : 1219] ->  [200.98.197.84 : 80 (http)]
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\moduloa\moduloa.exe -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-4-20 12:29:25    创建文件    阻止
进程: f:\下载\moduloa\moduloa.exe
目标: C:\WINDOWS\media\EepiuhP\mod04.mp3
规则: [应用程序组]●研磨 -> [文件]*

sandypan1984

Avira kill ！

风亡

360 SD kill

kerry

MSE+微点2.0都被过

sadfish5

有一些小动作，但并没有恶意行为和破坏~
1，添加自启动
2,在C盘多个地区创建文件夹
3,把moduloa.mp3文件小移一下（在当前目录建一个文件夹，移进去）
4,在C:\windows\media 建了一个 IE图标  - -!  newico.ico

5,运行 ipconfig，测试是否连网
5,连接 ip:50.17.184.215， 目标主机的地址吧，并没有下东西进来~~~

kurakimai

回复 15楼 sadfish5 的帖子

意思是不算MALWARE?

kurakimai

UPDATE

hx1997

17L
ESET kill
G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\modulo.rar > RAR > modulo.exe - Win32/Spy.Banker.VRR 特洛伊木马 的变种

留侯

17L。大蜘蛛再次clean，文件加了壳：
modulo.exe packed by UPX
已上报！

F-secure2009

360干掉，IK无反应