过360安全卫士8.1------------远控

李不知

额··瑞星下完就KILL了

JRYB

卡巴拦截，无法下载

咚咚腔

诺顿 sonar  干掉～ 呼呼～～～

镜湖

怡宝 发表于 2011-6-2 14:13
微点主防1.2   2009年安装程序、特征库，未升级    KILL

数字党不是说360hips比微点主防安全性更高吗，哈哈。

怡宝

镜湖 发表于 2011-6-3 12:36
数字党不是说360hips比微点主防安全性更高吗，哈哈。

理论上是数字的HIPS比微点厉害，因为都说了是“HIPS”嘛，手动的安全性要高得多，但前提是你得会用，呵呵

hansyu

panda cloud
Trj/CI.A

小飞侠.net

a256886572008 发表于 2011-6-2 13:59
360 云主防 被穿破了

附上生成物。

可疑文件扫描报告┊2011-4-24 8:00┊

┊360杀毒 2.0.0.2033 ┊
扫描选项--指定目录扫描
----------------------
使用QVM启发式引擎（v2.2011.5.4）：是
升级设置：定时升级，每天--16：24 升级本地BitDefender病毒库
多引擎设置：禁用360云查杀引擎
=======================
Avira AntiVir┊Ikarus 网页版

       Windows XP SP3┊Google Chrome 11┊7-Zip┊7z
----------------------
文件名: D:\mp4\NewDoc3\003\Drrionzir.rar
文件大小: 438315 字节 (428.04 KB)
修改日期: 2011-06-03 14:07
MD5: 85c5f29cc0647700e81d837fae351fb2
SHA1: 41a7e1a972ab5d4320faf93bae485c44e9ec9764
SHA256: 53f5f1f0bd3c3a8e1b4d512cc19762148da2cc60eb84bdd22cee8d0b280fc411
CRC32: 3ca9b6ad

文件名: D:\mp4\NewDoc3\003\更新.rar
文件大小: 605878 字节 (591.68 KB)
修改日期: 2011-06-03 14:06
MD5: 4e472fec9a78c00b01df0b85e0880579
SHA1: a6b82ac2c772e4a21c9a6eacb7e5ae262761a601
SHA256: 65aa8b914979da5d64667dbc18569a7a1a5b82d45d0b6efcebbcd510a414aa1d
CRC32: 662d48e9


----------------------
360杀毒2：
病毒扫描结果
----------------------
D:\mp4\NewDoc3\003\Drrionzir.rar=>(NO_NAME)        压缩包炸弹(Arc.Bomb)        未处理
D:\mp4\NewDoc3\003\更新.rar=>更新.exe        可疑木马(Trojan.Generic.KDV.239726)        未处理
=======================

Avira AntiVir：更新.rar=>TR/Spy.FlyStudio.B
Drrionzir.rar=>TR/Dropper.Gen
----------------------

Ikarus---更新.rar=>Trojan-Spy.Win32.FlyStudio
Drrionzir.rar=>Trojan-Spy.Win32.FlyStudio
=======================
本地病毒库最后更新时间：2011-6-3 14:09

在线多引擎扫描：
更新.rar=>
Status:  Scan finished. 9 out of 20 scanners reported malware.
ht~tp://virusscan.jotti.org/en/scanresult/772c28666b6ae74ba22c28dd8dfbaa9865987d62

Drrionzir.rar=>生成物，居然是压缩包炸弹~~
Status:  Scan finished. 10 out of 20 scanners reported malware.
ht~tp://virusscan.jotti.org/en/scanresult/7e5adadeb25709bd110509a0f85938973f2d14cd

zouguan508

感谢楼主提供样本。目前样本已经可以查杀，运行此样本时，360的木马防火墙拦截提示清除

ppy0606

2011-6-3 19:20:11    创建文件夹    允许
进程: d:\我的文档\virus test\更新\更新.exe
目标: C:\Documents and Settings\9eyes.PPY\Local Settings\Temp\E_4
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\更新\更新.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-6-3 19:20:11    创建文件    允许
进程: d:\我的文档\virus test\更新\更新.exe
目标: C:\Documents and Settings\9eyes.PPY\Local Settings\Temp\E_4\krnln.fnr
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\更新\更新.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-6-3 19:20:11    创建文件    允许
进程: d:\我的文档\virus test\更新\更新.exe
目标: C:\Documents and Settings\9eyes.PPY\Local Settings\Temp\E_4\Exmlrpc.fne
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\更新\更新.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-6-3 19:20:11    创建文件    允许
进程: d:\我的文档\virus test\更新\更新.exe
目标: C:\Documents and Settings\9eyes.PPY\Local Settings\Temp\E_4\dp1.fne
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\更新\更新.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-6-3 19:20:11    创建文件    阻止
进程: d:\我的文档\virus test\更新\更新.exe
目标: C:\Program Files\Drrionzir.exe
规则: [应用程序组]●研磨 -> [文件组]文件保护 -> [文件]?:\program files\*

2011-6-3 19:20:11    创建文件    阻止
进程: d:\我的文档\virus test\更新\更新.exe
目标: C:\Program Files\Drrionzir.exe
规则: [应用程序组]●研磨 -> [文件组]文件保护 -> [文件]?:\program files\*

2011-6-3 19:20:11    创建文件    阻止
进程: d:\我的文档\virus test\更新\更新.exe
目标: C:\Program Files\Drrionzir.exe
规则: [应用程序组]●研磨 -> [文件组]文件保护 -> [文件]?:\program files\*

2011-6-3 19:20:11    创建文件    阻止
进程: d:\我的文档\virus test\更新\更新.exe
目标: C:\更新.exe_And xMe.bat
规则: [应用程序组]●研磨 -> [文件组]文件保护 -> [文件]?:\

yyylll66

C:\Program Files\Drrionzir.exe
C:\Program Files\Drrionzir.dll
C:\Program Files\Drrionzir.txt
C:\Program Files\Drnssneoi\srvany.exe（随机文件夹）
C:\Documents and Settings\Administrator\Local Settings\Temp\102571.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\BClib\krnln.fne
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\BClib\Exmlrpc.fne
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\BClib\dp1.fne
C:\WINDOWS\TEMP\BClib\krnln.fne
C:\WINDOWS\TEMP\BClib\Exmlrpc.fne
C:\WINDOWS\TEMP\BClib\dp1.fne

利用srvany.exe注册Drrionzir.exe为Drnssneoi服务，
启动浏览器远程连接到广东电信ip183.44.36.79

Drrionzir.txt重启重命名为Drrionzir.db再重命名为Drrionzir.exe