我想我是不是中招了~

pittyopen

      24日晚上正用 sandboxie浏览卡饭论坛网页和安装Adobe一个软件，安软配置是McAfee8.7 和McAfee HIP7 。因为我的Adobe软件是官网下载的而且以前也用sandboxie装过，加上我对卡饭论坛还是挺信任的，怕安装软件时麻烦，就把McAfee8.7的访问保护关了(关闭阻挡，开报告）。大概11点左右，点击卡饭论坛网页时，McAfee HIP防火墙弹出一个网络连接请求（不是程序联网连接），我开始时拒绝了可卡饭论坛网页就显示无法打开，我只好刷新论坛网页并允许了网络连接请求。但论坛网页半天没见打开，但看见 IE页面的左下角有2、3秒钟时间显示了连接地址为几个数字的网址，我有点纳闷就再手动输入了http://bbs.kafan.cn，可还是一样的情况，不经意看见主机灯狂闪，索性关了论坛网页。加上在凌晨1点左右又能登陆卡饭了，就没有再留意了。
      25日偶尔打开访问保护日志时却发现：有很长很多的看不懂的日志，全是昨晚点击论坛网页并打不开那个时间段的…… 这下我郁闷了：难道我中招了？ 古语说得好：常在河边走哪有不湿鞋。可痛苦的是偏偏那个时间把访问保护给关了。要真中招了让人情何以堪……  花6、7个小时全盘查杀没有发现，后上KIS 9全盘查杀也暂时未见异常。本想用神器NPE等其他工具来剿匪的，但一想太花时间了，就直接使用终极武器吧——重装系统。     
      
      下面附上异常日志的一部分：
2011-5-24        22:24:00        将由访问保护规则 (当前不强制执行规则) 禁止         15A6F628E51648C\Administrator        C:\Sandbox\Administrator\ieanyway\drive\C\Program Files\Common Files\Adobe AIR\Versions\1.0\Resources\Adobe AIR Updater.exe        C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Connections\Pbk\rasphone.pbk        防病毒最大保护:保护电话簿文件免受密码和电子邮件地址窃贼的攻击        已阻止的操作: 读取
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226604        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226604        60.173.9.91                -1        6        113.243.110.112        50980        60.173.9.91        28695        1        0        -1                0       
7        1306226605        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226605        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226606        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226606        255.255.255.255                21        17        0.0.0.0        17408        255.255.255.255        17152        0        1        1372        C:\WINDOWS\SYSTEM32\SVCHOST.EXE        0       
7        1306226606        0.0.0.0                -1        17        255.255.255.255        17152        0.0.0.0        17408        1        0        -1                0       
7        1306226610        255.255.255.255                -1        17        0.0.0.0        17408        255.255.255.255        17152        0        1        1372        C:\WINDOWS\SYSTEM32\SVCHOST.EXE        0       
7        1306226610        0.0.0.0                -1        17        255.255.255.255        17152        0.0.0.0        17408        1        0        -1                0       
7        1306226618        255.255.255.255                -1        17        0.0.0.0        17408        255.255.255.255        17152        0        1        1372        C:\WINDOWS\SYSTEM32\SVCHOST.EXE        0       
7        1306226618        0.0.0.0                -1        17        255.255.255.255        17152        0.0.0.0        17408        1        0        -1                0       
7        1306226622        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226622        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226626        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226627        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226627        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226627        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226627        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226627        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226629        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        1        1        -1                0       
7        1306226629        98.126.175.218                -1        6        113.243.110.112        39173        98.126.175.218        28695        1        0        -1                0       
7        1306226631        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226631        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226631        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       
7        1306226634        255.255.255.255                -1        17        0.0.0.0        17408        255.255.255.255        17152        0        1        1372        C:\WINDOWS\SYSTEM32\SVCHOST.EXE        0       
7        1306226634        0.0.0.0                -1        17        255.255.255.255        17152        0.0.0.0        17408        1        0        -1                0       
7        1306226656        0.0.0.0                -1        1025        0.0.0.0        25736        0.0.0.0        0        0        1        -1                0       


PS：27日发现能正常上卡饭，才知道原来论坛被挂马了……

大猫熊

暂时没发现中招痕迹呀。。。Adobe AIR Updater.exe是正常程序。。。

sxd

这应该是正常的啊.........

pittyopen

sandyyangjie 发表于 2011-5-28 01:27
暂时没发现中招痕迹呀。。。Adobe AIR Updater.exe是正常程序。。。

我明白Adobe AIR Updater.exe是正常程序，因为我当时在安装Adobe软件。我指的是Adobe AIR Updater.exe后面一连串莫名的数字符号日志

wzx3250259

百度吧,不是说前几天卡饭被挂马了吗?

72380656

用火狐谷歌不就结了

czl997

卡饭被人黑了而已

lomning

没遇到过，还是多想想你做什么了

金头石子

应该是卡饭挂马了




。