微点交流论坛 - 微点主动防御软件 - 能够结束微点进程的东东(帮忙上报，如报了就算了）

微点交流论坛 » 微点主动防御软件 » 能够结束微点进程的东东(帮忙上报，如报了就算了）

湖边小屋
注册用户

积分 74
发帖 72
注册 2006-10-3

#1 能够结束微点进程的东东(帮忙上报，如报了就算了）

今天测试到以下的样本，发现可以结束微点进程，知道上报的朋友请帮忙上报一下。

http://******************（其中的bot.exe)

2007-06-19 15:18:10 修改注册表内容
操作:阻止
进程路径

:\Documents and Settings\dell\Local Settings\Temp\Rar$EX01.139\bot.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Driver
注册表名称:[Key]
2007-06-19 15:18:14 加载驱动程序
操作:阻止
进程路径

:\Documents and Settings\dell\Local Settings\Temp\Rar$EX01.139\bot.exe
驱动名称

river2007-06-19 15:18:15 运行应用程序
操作:阻止
进程路径

:\Documents and Settings\dell\Local Settings\Temp\Rar$EX01.139\bot.exe
文件路径

:\WINDOWS\system32\ntoskrnl.exe
2007-06-19 15:18:19 修改注册表内容
操作:阻止
进程路径

:\Documents and Settings\dell\Local Settings\Temp\Rar$EX01.139\bot.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:WMDM PMSP Service

时间       处理结果       病毒名称       病毒进程名       病毒文件创建者
2007-06-19 15:19:07       处理成功       未知病毒       D:\WINDOWS\SYSTEM32\NSO12K.SYS       D:\DOCUMENTS AND SETTINGS\DELL\LOCAL SETTINGS\TEMP\RAR$EX01.139\BOT.EXE
2007-06-19 15:19:00       处理成功       未知病毒       D:\DOCUMENTS AND SETTINGS\DELL\LOCAL SETTINGS\TEMP\RAR$EX01.139\BOT.EXE       D:\PROGRAM FILES\WINRAR\WINRAR.EXE

以上是用EQ拦截后，微点的拦截结果。

运行后发现样本已经被删除，但是微点也出现“初始化错误”，重新开机后再解压出这个样本，发现微点先前已经提取其特征码，直接报病毒了。

来源：[url]**************************[/url]

[ Last edited by Legend on 2007-7-4 at 09:16 ]

※ ※ ※ 本文纯属【湖边小屋】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-7-3 23:13

Legend
超级版主

超级版主

积分 77171
发帖 70170
注册 2005-10-29

#2

感谢楼主提供的信息，请您将这三个程序发送到virus@micropoint.com.cn中，随信附带本帖链接，方便我们及时跟踪此问题，谢谢

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息

2007-7-3 23:18

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号