病毒一枚～

saga3721

是否利用可信的regsvr32去调用winlogon并使其出站连接？那应该是个木马吧，说不定还有下载物呢

久远寺有珠

金山报毒

wmcxdb

2011-4-29 15:12:29    删除文件夹    允许
进程: d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe
目标: C:\Documents and Settings\d\Local Settings\Temp\IXP000.TMP
规则: [应用程序组]●研磨 -> [应用程序]d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-4-29 15:12:29    删除文件夹    允许
进程: d:\program files\infected\禁片-罗曼史[中文字幕].rmvb.exe
目标: C:\Documents and Settings\d\Local Settings\Temp\IXP001.TMP
规则: [应用程序组]●研磨 -> [应用程序]d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-4-29 15:12:29    创建文件夹    允许
进程: d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe
目标: C:\Documents and Settings\d\Local Settings\Temp\IXP002.TMP
规则: [应用程序组]●研磨 -> [应用程序]d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-4-29 15:12:29    创建文件    允许
进程: d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe
目标: C:\Documents and Settings\d\Local Settings\Temp\IXP002.TMP\TMP4351$.TMP
规则: [应用程序组]●研磨 -> [应用程序]d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-4-29 15:12:29    创建文件    允许
进程: d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe
目标: C:\Documents and Settings\d\Local Settings\Temp\IXP002.TMP\a.avi
规则: [应用程序组]●研磨 -> [应用程序]d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-4-29 15:12:30    创建新进程    允许
进程: d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe
目标: c:\windows\system32\regsvr32.exe
命令行: regsvr32.exe /s a.avi
规则: [应用程序组]●研磨 -> [应用程序]d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe -> [子应用程序]c:\windows\system32\regsvr32.exe

2011-4-29 15:12:31    修改其他进程的内存    阻止并结束进程
进程: c:\windows\system32\regsvr32.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序组]c\windows -> [目标应用程序]c:\windows\*

2011-4-29 15:12:31    删除文件    允许
进程: d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe
目标: C:\Documents and Settings\d\Local Settings\Temp\IXP002.TMP\a.avi
规则: [应用程序组]●研磨 -> [应用程序]d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-4-29 15:12:31    删除文件夹    允许
进程: d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe
目标: C:\Documents and Settings\d\Local Settings\Temp\IXP002.TMP
规则: [应用程序组]●研磨 -> [应用程序]d:\program files\infected\禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

zhousulin5

麻起胆子放开了一回，又有了更多的发现（我的虚拟机估计是只能恢复了吧，编辑此回复的时候已经有点不正常了）：

2011-4-29 17:34:32    修改其他进程的内存    允许
进程: c:\windows\system32\regsvr32.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序]c:\windows\*.exe -> [目标应用程序]c:\windows\system32\*.exe

2011-4-29 17:35:09    在其他进程中创建线程    允许
进程: c:\windows\system32\regsvr32.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序]c:\windows\*.exe -> [目标应用程序]c:\windows\system32\*.exe


2011-4-29 17:36:48    修改其他进程的内存    允许
进程: c:\windows\system32\regsvr32.exe
目标: c:\windows\explorer.exe
规则: [应用程序]c:\windows\*.exe -> [目标应用程序]c:\windows\explorer.exe

2011-4-29 17:36:51    在其他进程中创建线程    允许
进程: c:\windows\system32\regsvr32.exe
目标: c:\windows\explorer.exe
规则: [应用程序]c:\windows\*.exe -> [目标应用程序]c:\windows\explorer.exe

这之后是一大堆如下的阻止
2011-4-29 17:38:47    创建新进程    阻止
进程: c:\windows\system32\winlogon.exe
目标: c:\windows\system32\shutdown.exe
命令行: shutdown -r -t 0
规则: [应用程序组]本地磁盘分区 -> [子应用程序]禁止的系统程序

winlogon运行shutdown，被阻止。然后它一直运行shutdown。用MD看进线程，发现winlogon里有个线程有点可疑，挂起它之后，确实不再有新的阻止记录了。不过，我手痒了又去看了下csrss的线程，也有一个线程不停的在各种状态之间变化，一时手欠点了个挂起，结果整个系统就挂起了。郁闷啊。
没办法重启了虚拟机，居然没有看到有什么可疑的东西存在，他们说的各盘符下都会有的tmp文件没有看到，system32下那个wmidrive.inf也没有看到，winlogon下的那个cscdll.dll也是“已验证”并且有正确的路径，svchost也没有打开太多端口。看来，在shutdown之后还有什么动作因为winlogon中线程的挂起而没有完成。（可疑的东西在%temp%目录下，是个.tmp文件，所以我没有注意到）
（又重读了一遍帖子，那个wmidriver.inf并不是固定名字的，而是??Idriver.inf，看来我还得再去看看虚拟机里有没有，不过得等明天了）有，不过名字确实不是wmIdriver.inf，而是gxIdriver.inf，还有一个??Idriver.inf，但这两个文件大小不一样，一个有80多K，一个只有1K。
最后还是选择了恢复虚拟机，不放心，不知道还有没有其他的什么。我是不是放弃得太早了？

留侯

大蜘蛛：
禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe - 压缩文件 CAB
禁片-罗曼史[中文字幕].rmvb　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　.exe/a.avi 可能已感染：  BACKDOOR.Trojan

这是大蜘蛛启发式分析技术作出的判断

認真就輸了！

回复 45楼 留侯 的帖子

昨晚上传卡巴，至今无反应

留侯

回复 46楼 mc- 的帖子

不会吧！卡巴斯基的回复还是比较快的啊！

認真就輸了！

回复 47楼 留侯 的帖子

悲剧

留侯

回复 48楼 mc- 的帖子

呵呵……我想很快就会回复的吧！毕竟这个样本有些大的。

認真就輸了！

回复 49楼 留侯 的帖子

你再给我一个上报网址