写 MBR

liulangzhecgr

回复 1楼 a256886572008 的帖子

tdss.tdl? 病毒吧!


-----------------------------------------------------------------
tdss.tdl4 !


现在TDSS.TDL4 不感染驱动文件?! TDSSKILLER 秒杀!

xwhmm

手机先占位

rasis

360

dll.rar=>dll.exe        行为和木马比较相似的程序        已删除

saga3721

回复 11楼 liulangzhecgr 的帖子

看OP的提示像是说感染spoolsv.exe然后spoolsv.exe直接操作硬盘来的……也不知道究竟怎样

小飞侠.net

可疑文件扫描报告┊2011-4-24 8:00┊

┊360杀毒 2.0.0.2033 ┊
扫描选项--指定目录扫描
----------------------
扫描所有文件：是
扫描压缩包：是
发现病毒处理方式：通知用户
扫描系统内存：是
扫描磁盘引导区：是
扫描 Rootkit：是
使用QVM启发式引擎：是
=======================
┊安天防线v7.2.2.3184 ┊--指定目录扫描
----------------------
云安全：yes
扫描文件类型：所有文件
扫描压缩包：yes
扫描Cookies：yes
扫描Rootkit：yes
启发式：yes

       Windows XP SP3┊Google Chrome 11┊7-Zip┊7z
----------------------
文件名: D:\mp4\0506星期五\dll.rar
文件大小: 115462 字节 (112.76 KB)
修改日期: 2011-05-04 11:51
MD5: 8d942b1c24fc1bc16bbb5eb0cd86bad1
SHA1: 9b57f5357c16f97a4662e1a61e611de30d82e71e
SHA256: 291a1dd446a67c179b481ed47cc7a5c2bba3373143aa446c04f5f8a64b04b04b
CRC32: e6d82c84


----------------------
360杀毒2：
病毒扫描结果
----------------------
D:\mp4\0506星期五\dll.rar=>ll.rar=>dll.exe        行为和木马比较相似的程序        未处理
=======================
安天防线7：上报。。。

----------------------
本地病毒库最后更新时间：2011-5-4 14:19

在线多引擎扫描：
Status:  Scan finished.2 out of 20 scanners reported malware.
h~ttp://virusscan.jotti.org/en/scanresult/5b7c32fae387fe016bd86c1ae9bc0e41aa0f04d7

lf968

Firewall: User decision        2011/5/4 15:44        Blocked        C:\Users\xxxx\Desktop\dll\dll.exe, Outgoing TCP access blocked to: 95.143.193.138:80

Program Guard: dll.exe -> dll.exe        2011/5/4 15:44        Allowed        C:\Users\xxxx\Desktop\dll\dll.exe wants to delete executable file C:\Users\xxxx\Desktop\dll\dll.exe

Program Guard: dll.exe        2011/5/4 15:44        Blocked        C:\Users\xxxx\Desktop\dll\dll.exe wants to access hard disk directly using device \??\physicaldrive0

Program Guard: dll.exe        2011/5/4 15:44        Allowed        C:\Windows\explorer.exe -> C:\Users\xxxx\Desktop\dll\dll.exe

wmcxdb

2011-5-4 15:58:56    创建注册表项    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\system\currentcontrolset\services\703857b0
规则: [应用程序组]cx系统(禁) -> [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services*

2011-5-4 15:58:56    创建注册表项    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\703857b0
规则: [应用程序组]cx系统(禁) -> [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services*

2011-5-4 15:58:56    修改注册表值    阻止
进程: f:\program files\dll\dll.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\db\LOCALS~1\Temp\3.tmp
规则: [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Control\Session Manager*

2011-5-4 15:58:56    修改注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]cx系统(禁) -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2011-5-4 15:58:56    删除注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [应用程序组]cx系统(禁) -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2011-5-4 15:58:56    删除注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [应用程序组]cx系统(禁) -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2011-5-4 15:58:56    删除注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
规则: [应用程序组]cx系统(禁) -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2011-5-4 15:58:56    修改注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]cx系统(禁) -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2011-5-4 15:58:56    修改注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
值: 3c 00 00 00 04 00 00 00 09 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
规则: [应用程序组]cx系统(禁) -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2011-5-4 15:58:56    访问网络    阻止
进程: c:\windows\system32\spoolsv.exe
目标: TCP [本机 : 1105] ->  [95.143.193.138 : 80 (http)]
规则: [应用程序组]cx★(禁) -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-5-4 15:59:07    访问网络    阻止
进程: c:\windows\system32\spoolsv.exe
目标: TCP [本机 : 1106] ->  [60.169.12.75 : 80 (http)]
规则: [应用程序组]cx★(禁) -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-5-4 15:59:07    修改注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings
值: 3c 00 00 00 03 00 00 00 09 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 1c 00 00 00 68 74 74 70 3a 2f 2f 36 30 2e 31 36 39 2e 31 32 2e 37 35 2f 77 70 61 64 2e 64 61 74 80 30 f4 24 31 0a cc 01 01 00 00 00 c0 a8 01 64 00 00 00 00 00 00 00 00
规则: [应用程序组]cx系统(禁) -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2011-5-4 15:59:07    访问网络    阻止
进程: c:\windows\system32\spoolsv.exe
目标: TCP [本机 : 1107] ->  [95.143.193.138 : 80 (http)]
规则: [应用程序组]cx★(禁) -> [网络]TCP/UDP [本机 : 任意端口] -> [任意地址 : 任意端口]

2011-5-4 15:59:07    底层磁盘写操作    阻止
进程: c:\windows\system32\spoolsv.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序组]cx系统(禁)

2011-5-4 15:59:07    修改文件    阻止
进程: c:\windows\system32\spoolsv.exe
目标: C:\WINDOWS\system32\spoolsv.exe
规则: [应用程序组]cx系统(禁) -> [文件组]文件保护 -> [文件]c:\windows\system32\*

m220011

NIS miss

hddu

2011-05-04 18:10:18    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Control\Print\Providers
注册表名称:Order
更改后:LanMan Print Services
触发规则:应用程序规则->系统程序->%windir%\system32\spoolsv.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Control\Print\Providers


2011-05-04 18:10:18    创建文件      操作:阻止并结束进程
进程路径:F:\virus\dll\dll.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\setup3250847744.exe.manifest
触发规则:高优先规则->Temp临时文件夹设置->*\Temp\*.exe.manifest

kjq

杀软报毒直接拒绝了。