过KIS7 QQ医生报QQrobber [MD5:c2b3a]

The EQs

现在想知道QQ医生到底用的是什么引擎。。。。。居然能杀出来。。。

woai_jolin

2007/6/20 12:30:58        Scanning Log
2007/6/20 12:30:58        Version of virus signature database: 2340 (20070620)
2007/6/20 12:30:58        Date: 20.6.2007  Time: 12:30:58
2007/6/20 12:30:58        Scanned disks, folders and files: D:\病毒测试\
2007/6/20 12:31:02        D:\病毒测试\SVCHOSI_MD5_c2b3a.rar - a variant of Win32/GreyBird trojan - deleted - quarantined
2007/6/20 12:31:02        D:\病毒测试\SVCHOSI_MD5_c2b3a.rar » RAR » SVCHOSI.EXE - a variant of Win32/GreyBird trojan
2007/6/20 12:31:02        Number of scanned files: 2
2007/6/20 12:31:02        Number of threats found: 1
2007/6/20 12:31:02        Time of completion: 12:31:02  Total scanning time: 4 sec (00:00:04)

dericyeoh

原帖由 EQ2 于 2007-6-20 12:25 发表
现在想知道QQ医生到底用的是什么引擎。。。。。居然能杀出来。。。

不知道.不过只能查内存中的...不能指定目标....

小邪邪

咖啡报木马

傻猪猪米走鸡

扫描开始时间: 2007-6-20 13:17:11
日期: 2007年6月20日  时间: 13:18:11
反 Rookits 技术已启用。
已扫描磁盘、文件夹和文件: D:\firefox下载的文件\SVCHOSI_MD5_c2b3a.rar
D:\firefox下载的文件\SVCHOSI_MD5_c2b3a.rar ?RAR ?SVCHOSI.EXE<病毒 - Win32/GreyBird 木马 变种>
已扫描文件数量: 2
已发现病毒数量: 1
已清除病毒的文件数量: 1
完成时间: 13:18:22 总共扫描时间: 11 秒 (00:00:11)

kns8028

王jay版 应该是使用了较早的某版本,比较新的版本,为了优化整体效能,的确是有些会扫不出来,但其实新版本也没比较弱啦,你执行他看看,结果不会另你失望
这例子间接证明卡巴也默认一昧脱壳是无法解决所有问题,所以在理想与现实中还是做出了无奈的平衡

[ 本帖最后由 kns8028 于 2007-6-20 13:43 编辑 ]

xiaosdsd

卡巴主动防御报

dericyeoh

是的.主动防御报了...不过但是这样木马在机子上留着也是不安心.呵呵

a256886572008

運行SVCHOSI.EXE，發現下列行為，被EQ-Secure RC2攔截！
---------------------
2007-06-20 14:23:30    运行应用程序      操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-20 14:23:31    创建文件      操作:阻止
进程路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
文件路径:C:\Program Files\Internet Explorer\Connection Wizard\SVCHOSI.EXE
规则:所有程序规则->保護安全軟體->C:\Program Files\*


2007-06-20 14:23:31    创建文件      操作:阻止
进程路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
文件路径:C:\Program Files\Internet Explorer\Connection Wizard\SVCHOSI.EXE
规则:所有程序规则->保護安全軟體->C:\Program Files\*


2007-06-20 14:23:31    创建文件      操作:阻止
进程路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
文件路径:C:\Program Files\Internet Explorer\Connection Wizard\SVCHOSI.EXE
规则:所有程序规则->保護安全軟體->C:\Program Files\*


2007-06-20 14:23:31    创建文件      操作:阻止
进程路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
文件路径:C:\Program Files\Internet Explorer\Connection Wizard\SVCHOSI.EXE
规则:所有程序规则->保護安全軟體->C:\Program Files\*


2007-06-20 14:23:31    创建文件      操作:阻止
进程路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
文件路径:C:\Program Files\Internet Explorer\Connection Wizard\SVCHOSI.EXE
规则:所有程序规则->保護安全軟體->C:\Program Files\*


2007-06-20 14:23:31    创建文件      操作:阻止
进程路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
文件路径:C:\Program Files\Internet Explorer\Connection Wizard\SVCHOSI.EXE
规则:所有程序规则->保護安全軟體->C:\Program Files\*


2007-06-20 14:23:32    修改注册表内容      操作:阻止
进程路径:C:\windows\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinXPer
注册表名称:[Key]
规则:所有程序规则->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-06-20 14:23:32    修改注册表内容      操作:阻止
进程路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp
注册表名称:[Key]
规则:所有程序规则->其他重要項->*\Software\Microsoft\Windows\Currentversion\Policies*


2007-06-20 14:23:32    修改注册表内容      操作:阻止
进程路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp
注册表名称:[Key]
规则:所有程序规则->其他重要項->*\Software\Microsoft\Windows\Currentversion\Policies*


2007-06-20 14:23:32    创建文件      操作:阻止
进程路径:D:\桌面\virus\SVCHOSI MD5 c2b3a\SVCHOSI.EXE
文件路径:C:\windows\system32\Deleteme.bat
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.bat

--------------------------------------------------------
1.他會在下列路徑產生SVCHOSI.EXE
   C:\Program Files\Internet Explorer\Connection Wizard\
2.他會利用services.exe修改注册表内容
   HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinXPer
   [Key]
3.他會修改注册表内容
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp
   [Key]
4.他會在下列路徑產生Deleteme.bat
   C:\windows\system32\

1688388728

发表回复