EmotionCard

显示全部楼层 · 发表于 2011-4-25 00:00:43

麻烦看看行为

谢谢

显示全部楼层 · 发表于 2011-4-25 00:05:13

2011-04-25 00:01:48 创建文件    操作:允许
进程路径:F:\virus\EmotionCard\EmotionCard.exe
文件路径:F:\virus\EmotionCard\wget.exe
触发规则:应用程序规则->其它文件设置->F:\*->F:\*.exe

2011-04-25 00:01:50 创建文件    操作:允许
进程路径:F:\virus\EmotionCard\EmotionCard.exe
文件路径:F:\virus\EmotionCard\crypter.exe
触发规则:应用程序规则->其它文件设置->F:\*->F:\*.exe

2011-04-25 00:01:50 运行应用程序    操作:允许
进程路径:F:\virus\EmotionCard\EmotionCard.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\Documents and Settings\Administrator\Local Settings\Temp\90.tmp\EmotionCard.bat" "
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-04-25 00:01:51 修改文件    操作:阻止
进程路径:F:\virus\EmotionCard\wget.exe
文件路径:C:\WINDOWS\system32\drivers\etc\hosts
触发规则:所有程序规则->需要保护的文件->%WinDir%\system32\drivers\etc\*

2011-04-25 00:01:51 修改文件    操作:阻止
进程路径:F:\virus\EmotionCard\wget.exe
文件路径:C:\WINDOWS\system32\drivers\etc\hosts
触发规则:所有程序规则->需要保护的文件->%WinDir%\system32\drivers\etc\*

2011-04-25 00:01:52 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\attrib.exe
命令行:+h crypter.exe
触发规则:所有程序规则->系统程序设置->*\attrib.exe

2011-04-25 00:01:52 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\attrib.exe
命令行:+h EmotionCard.exe
触发规则:所有程序规则->系统程序设置->*\attrib.exe

2011-04-25 00:01:54 创建文件    操作:允许
进程路径:F:\virus\EmotionCard\crypter.exe
文件路径:F:\virus\EmotionCard\wget.exe
触发规则:应用程序规则->其它文件设置->F:\*->F:\*.exe

2011-04-25 00:01:54 运行应用程序    操作:允许
进程路径:F:\virus\EmotionCard\crypter.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\Documents and Settings\Administrator\Local Settings\Temp\91.tmp\crypter.bat" "
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2011-04-25 00:02:41 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v "load" /t REG_SZ /d "\"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\loader.exe\" --auto-start" /F
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-04-25 00:02:41 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce /v "load" /t REG_SZ /d "\"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\loader.exe\" --auto-start" /F
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-04-25 00:02:41 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurentVersion\Run /v "load" /t REG_SZ /d "\"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\loader.exe\" --auto-start" /F
触发规则:所有程序规则->系统程序设置->*\reg.exe

2011-04-25 00:02:41 运行应用程序    操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\reg.exe
命令行:add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurentVersion\RunOnce /v "load" /t REG_SZ /d "\"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\loader.exe\" --auto-start" /F
触发规则:所有程序规则->系统程序设置->*\reg.exe

显示全部楼层 · 发表于 2011-4-25 00:10:54

360，金山，报未知！
瑞星启发报可疑，可疑情况，为反虚拟机！

显示全部楼层 · 发表于 2011-4-25 00:13:22

玩CMD的。生成一个击键记录程序然后出站连接，然后结束，删除痕迹并随计算机自启动

显示全部楼层 · 发表于 2011-4-25 00:14:44

回复 1楼 kurakimai 的帖子

结果出来！

显示全部楼层 · 发表于 2011-4-25 00:15:08

运行后金山报生成物，云鉴定后报母体

显示全部楼层 · 发表于 2011-4-25 00:17:32

微点对付这种还是很有把握的
程序：
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\EMOTIONCARD.EXE
木马程序生成以下文件：
1) C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\WGET.EXE
2) C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\CRYPTER.EXE
是否删除木马程序及其衍生物?

显示全部楼层 · 发表于 2011-4-25 00:43:52

本帖最后由 hb1990521 于 2011-4-25 00:44 编辑

Gdata:
扫描网页内容
地址:       bbs.kafan.cn/forum-attachment-aid-MTIwMjU4MHxkMzRkZmUyM3wxMzAzNjYzMjYwfDQ4MTEyMw==.html
病毒:       Win32:Malware-gen (Engine-B)
状态：       访问被拒绝。

显示全部楼层 · 发表于 2011-4-25 00:56:09

to mmpc

显示全部楼层 · 发表于 2011-4-25 07:58:56

蜘蛛Trojan.DownLoader2.42573

[病毒样本] EmotionCard

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源