标题: 能够结束微点进程的东东(帮忙上报，如报了就算了） [打印本页]

---

作者: 湖边小屋     时间: 2007-7-3 23:13    标题: 能够结束微点进程的东东(帮忙上报，如报了就算了）

今天测试到以下的样本，发现可以结束微点进程，知道上报的朋友请帮忙上报一下。

http://******************（其中的bot.exe)

2007-06-19 15:18:10        修改注册表内容
操作:阻止
进程路径:D:\Documents and Settings\dell\Local Settings\Temp\Rar$EX01.139\bot.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Driver
注册表名称:[Key]
2007-06-19 15:18:14        加载驱动程序
操作:阻止
进程路径:D:\Documents and Settings\dell\Local Settings\Temp\Rar$EX01.139\bot.exe
驱动名称:Driver2007-06-19 15:18:15        运行应用程序
操作:阻止
进程路径:D:\Documents and Settings\dell\Local Settings\Temp\Rar$EX01.139\bot.exe
文件路径:D:\WINDOWS\system32\ntoskrnl.exe
2007-06-19 15:18:19        修改注册表内容
操作:阻止
进程路径:D:\Documents and Settings\dell\Local Settings\Temp\Rar$EX01.139\bot.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:WMDM PMSP Service

时间        处理结果        病毒名称        病毒进程名        病毒文件创建者
2007-06-19 15:19:07        处理成功        未知病毒        D:\WINDOWS\SYSTEM32\NSO12K.SYS        D:\DOCUMENTS AND SETTINGS\DELL\LOCAL SETTINGS\TEMP\RAR$EX01.139\BOT.EXE
2007-06-19 15:19:00        处理成功        未知病毒        D:\DOCUMENTS AND SETTINGS\DELL\LOCAL SETTINGS\TEMP\RAR$EX01.139\BOT.EXE        D:\PROGRAM FILES\WINRAR\WINRAR.EXE

以上是用EQ拦截后，微点的拦截结果。

运行后发现样本已经被删除，但是微点也出现“初始化错误”，重新开机后再解压出这个样本，发现微点先前已经提取其特征码，直接报病毒了。

来源：[url]**************************[/url]

[ Last edited by Legend on 2007-7-4 at 09:16 ]

---

作者: Legend     时间: 2007-7-3 23:18
感谢楼主提供的信息，请您将这三个程序发送到virus@micropoint.com.cn中，随信附带本帖链接，方便我们及时跟踪此问题，谢谢

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn