感染MBR~~~禁用IPS的马儿

小飞侠.net

流氓桌面图标病毒---请在虚拟机体验，请不要在爱机上运行~~HIPS党注意，请看第12楼！

1、感染MBR~~~


文件名: D:\Beta\V2011BetaDoc0422\beta\003\a\201104131088.rar--样本来源文件下载：ht tp://456.qing666.com:55/xixics/201104131088.rar
文件大小: 298018 字节 (291.03 KB)
修改日期: 2011-04-22 15:01
MD5: c6e2a630cd779d9b4c95463b7750254c
SHA1: 1cddc3683e64886f6ac8503935bc34addbf31efb
SHA256: d0b2092edb6897a71bf856097a3be95720cc284bc2e6118c1487e8fc6d74b301
CRC32: f803a618

2、禁用IPS`~不修复就不能解决问题


样本来源：ht tp://60.172.226.13:827/52blt20110421.rar

文件名: D:\Beta\V2011BetaDoc0422\beta\004\b\52blt20110421.rar
文件大小: 44234 字节 (43.20 KB)
修改日期: 2011-04-22 15:02
MD5: 7a9e6c5972697230e74f2302262447ed
SHA1: f245dfb16e08a6788a335c07842078b696219187
SHA256: 960daeab99b31e4e755de86a0633ea03652c7187023306b9e34672ff25ab1e15
CRC32: 590731bb

jack827

saga3721

运行红伞杀

arsh

微点2.0右键扫描拦截：

木山

mse kill

flycx12

https://bbs.kafan.cn/forum.php?mod=attachment&aid=MTE5OTY0OXw5NzNjZTA3ZjBlNzMxMjU4MWEyMDU5ZDAxMGIwNDc1Y3wxNzQ5OTI3ODMw&request=yes&_f=.jpg

瓜皮猫

eset  kill
C:\Users\微亿毫\Desktop\52blt20110421.rar > RAR > setup.exe - 可能是 Win32/AntiAV.NHE 特洛伊木马 的变种
C:\Users\微亿毫\Desktop\201104131088.rar > RAR > wg.exe > RAR > 123.exe - Win32/Agent.SHW 特洛伊木马
C:\Users\微亿毫\Desktop\201104131088.rar > RAR > wg.exe > RAR > 1440.exe - Win32/TrojanDropper.Agent.PEC 特洛伊木马 的变种
C:\Users\微亿毫\Desktop\201104131088.rar > RAR > wg.exe > RAR > 3.exe - Win32/Agent.SKN 特洛伊木马
C:\Users\微亿毫\Desktop\201104131088.rar > RAR > wg.exe > RAR > C3.exe - 可能是 Win32/TrojanDownloader.Delf.PQW 特洛伊木马 的变种
C:\Users\微亿毫\Desktop\201104131088.rar > RAR > wg.exe > RAR > uu1.exe - Win32/PSW.Pebox.BT 特洛伊木马 的变种

sanhu35

2011-4-22 21:01:50    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\sanhu35\桌面\setup.exe
命令行: "C:\Documents and Settings\sanhu35\桌面\setup.exe"
规则: [应用程序]c:\windows\explorer.exe
2011-4-22 21:06:20    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\sanhu35\桌面\setup.exe
命令行: "C:\Documents and Settings\sanhu35\桌面\setup.exe"
规则: [应用程序]c:\windows\explorer.exe
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:23    使用配置单元文件替换注册表项    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序组]【授权】高限制组
2011-4-22 21:06:26    创建新进程    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: c:\windows\system32\sc.exe
命令行: "C:\WINDOWS\system32\sc.exe" config PolicyAgent start= auto
规则: [应用程序]* -> [子应用程序]『禁运』黑名单
2011-4-22 21:06:30    创建新进程    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: c:\windows\system32\sc.exe
命令行: "C:\WINDOWS\system32\sc.exe" stop PolicyAgent
规则: [应用程序]* -> [子应用程序]『禁运』黑名单
2011-4-22 21:06:34    创建新进程    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: c:\windows\system32\sc.exe
命令行: "C:\WINDOWS\system32\sc.exe" start PolicyAgent
规则: [应用程序]* -> [子应用程序]『禁运』黑名单
2011-4-22 21:06:42    创建文件夹    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: C:\Program Files\ATI
规则: [应用程序组]【授权】高限制组 -> [文件组]保护应用程序
2011-4-22 21:06:44    创建文件    阻止
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: C:\WINDOWS\TEMP\updata.exe
规则: [应用程序组]【授权】高限制组 -> [文件组]保护执行文件


2011-4-22 21:01:53    使用配置单元文件替换注册表项    阻止并结束进程
进程: c:\documents and settings\sanhu35\桌面\setup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
配置单元: C:\WINDOWS\TEMP\360data.tmp
规则: [应用程序]*

2011-4-22 21:02:41    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\sanhu35\桌面\wg.exe
命令行: "C:\Documents and Settings\sanhu35\桌面\wg.exe"
规则: [应用程序]c:\windows\explorer.exe

2011-4-22 21:02:41    创建文件    阻止
进程: c:\documents and settings\sanhu35\桌面\wg.exe
目标: C:\Program Files\__tmp_rar_sfx_access_check_39506171
规则: [文件组]【只读】系统磁盘 -> [文件]c:\*

2011-4-22 21:02:42    修改文件    阻止
进程: c:\documents and settings\sanhu35\桌面\wg.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件组]【只读】系统磁盘 -> [文件]c:\*

2011-4-22 21:02:42    修改文件    阻止
进程: c:\documents and settings\sanhu35\桌面\wg.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件组]【只读】系统磁盘 -> [文件]c:\*

sanhu35

未见修改mbr

小飞侠.net

sanhu35 发表于 2011-4-22 21:07
未见修改mbr

可能偶放错了样本了，算了没时间找出来了！~~抱歉