再来一个，疑似远控过360主防，杀软全过还鉴定为安全、非病毒，更新已可拦截

显示全部楼层 · 发表于 2011-5-23 09:27:44

本帖最后由 leisong 于 2011-5-23 14:04 编辑

http://bbs.kafan.cn/thread-989271-1-1.html成功添加自启动服务项，金山鉴定为安全，卡巴鉴定为不是病毒，其它杀软基本全过。到底是否是远控木马，待大牛人工鉴定

MD主要日志如下
2011-5-23 09:12:51 创建注册表项允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetOffice
规则:

2011-5-23 09:12:57 修改注册表值允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetOffice \Start
值: 0x00000002(2)
规则:

2011-5-23 09:13:06 修改注册表值允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetOffice \ImagePath
值: D:\mttsoft\svchost.exe -server
规则:

2011-5-23 09:13:11 删除注册表值允许
进程: d:\mttsoft\svchost.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\NetOffice
规则:

2011-5-23 09:13:14 修改注册表值允许
进程: d:\mttsoft\svchost.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
值: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
规则: [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Shell Folders; *Startup

显示全部楼层 · 发表于 2011-5-23 09:43:15

本帖最后由 yeh.ly.are 于 2011-5-23 09:43 编辑

沙发

等MJ现身

显示全部楼层 · 发表于 2011-5-23 09:43:38

让360粉丝试试吧

显示全部楼层 · 发表于 2011-5-23 10:39:41

等待鉴定了

显示全部楼层 · 发表于 2011-5-23 10:41:50

占位等分析结果

显示全部楼层 · 发表于 2011-5-23 10:50:15

占位，等人

显示全部楼层 · 发表于 2011-5-23 10:57:23

应该是白程序，一会儿看看

显示全部楼层 · 发表于 2011-5-23 11:05:40

等待高手上分析结果

显示全部楼层 · 发表于 2011-5-23 11:15:06

过来等高手

显示全部楼层 · 发表于 2011-5-23 12:00:53

卡巴说神马啊？LZ

[讨论] 再来一个，疑似远控过360主防，杀软全过还鉴定为安全、非病毒，更新已可拦截

null