回复 180楼 killerwhale 的帖子
推荐两个comodo v3
Mamutu 1.7(试用1个月） 悄悄的水一贴~~ 补充样本080814-4-7运行后，点击记事本时，SSM的反映情况，见图。 [size=5][color=red]080814-4-7.exe[/color][/size]：rar自解压文件，运行后释放hh.reg导入注册表，映像劫持notepad.exe到cmd命令调用，删除D盘所有文件及其子目录，其他动作无，微点暂不处理。
[size=5][color=red]080814-5-5.exe[/color][/size]：修改主页为htp://www.31fa.com，开启保护状态下微点可以拦截IE主页保护，其他动作无。如下：“修改注册表项:
HKCU\Software\Microsoft\Internet Explorer\Main\Start Page
是否阻止?”
[size=5][color=red]080814-5-9.exe[/color][/size]：运行后检测C:\DOCUME~1\guo\APPLIC~1\geawfrvckvt.dll，C:\DOCUME~1\guo\APPLIC~1\kyf.dat，C:\DOCUME~1\guo\APPLIC~1\msbb.exe，C:\DOCUME~1\guo\APPLIC~1\ncmyb.dll"等文件是否存在，这些文件不存在于本地硬盘，其他动作无
[size=5][color=red]080814-A2-26.exe[/color][/size]：如果网络连通或链接有效的情况下，下载htp://xnibi.com/pmm.exe到本地默认用户目录下保存为t.pif，t.pif非病毒文件。
[size=5][color=red]080814-A2-94.exe[/color][/size]：安装包文件，包含scm13.exe与23.sys，scm13.exe负责安装驱动23.sys，23.sys加载后在%windir%\system32\目录下创建文件sysbar.exe，无后续动作。 剩余未杀.rar压缩包
少传样本"080814-5-4.exe" 杀掉,关联进程MPSVC2.exe,不能正确删除 080815特征版本对昨天未查杀中的四个样本进行了处理，还有一个080814-A2-94.exe未处理，不知道这个是不是真正的有效病毒。
时间 处理结果 木马名称 木马进程名 木马文件创建者
2008-08-15 17:20:12 处理成功 AdWare.Win32.Downloader.dd E:\VMSHARE\KAFAN VIRLIST[080814]\080814-A2-26.EXE C:\PROGRAM FILES\WINRAR\WINRAR.EXE
2008-08-15 17:20:12 处理成功 Trojan.Win32.Obfuscated.exs E:\VMSHARE\KAFAN VIRLIST[080814]\080814-5-9.EXE C:\PROGRAM FILES\WINRAR\WINRAR.EXE
2008-08-15 17:20:12 处理成功 Trojan-Downloader.Win32.Adload.bql E:\VMSHARE\KAFAN VIRLIST[080814]\080814-5-5.EXE C:\PROGRAM FILES\WINRAR\WINRAR.EXE
2008-08-15 17:20:08 处理成功 Trojan.BAT.Delfiles.c E:\VMSHARE\KAFAN VIRLIST[080814]\080814-4-7.EXE C:\PROGRAM FILES\WINRAR\WINRAR.EXE [:02:] [:02:] [:02:]
金牌。。。。
微点加油 [:17:] 微点不错啊
细细这个测试很好很强大 我用虚拟机下的XP SP3，对15号的五个样本测试，用SSM监控，情况似乎与LZ公布的情况有点不一样，特别是A1－145那个样本。具体的我也说不清楚，不太懂技术。145那个样本运行后，在系统里加载服务9FE.exe，并且通过RUNDLL32 "C:\WINDOWS\DOWNLO~1\FA7B.DLL"。重开机后，FA7B.DLL被微点杀掉，但未能直接杀掉9FE.exe。后来我通过微点的自启动信息删除该服务成功。
所有的LOG记录请详见附件压缩包。
为再仔细核实，我重启无毒快照后，将微点设为自动处理和静默方式，然后运行145，情况见附图，实际上是9FE.exe一直在生成而造成不断地自动杀除7G9.DLL。后重启电脑，微点将FA7B.DLL杀掉，不再有任何动作，未杀进程中的9FE.exe，该文件随机启动成一个进程，但无动作。至于7G9.DLL，没有在进程中发现，未活动，但存在于硬盘中。估计关键问题在于FA7B.DLL。
[[i] 本帖最后由 pikachu30 于 2008-8-16 00:39 编辑 [/i]] 好多字好复杂 很好啊。 [:11:] 16号的呢？ LZ好象在某贴中讲昨天他应该是在火车上，大概16号的成绩不会再有了。 天啊 下火车之后看到昨天没人测（测试组其他人也不知哪去了） 进行了一下紧急测试 应该是赶上了
PS：今晚有课 明天课满 今天我是100%不能测试 只能由其他人完成
[[i] 本帖最后由 killerwhale 于 2008-8-17 15:29 编辑 [/i]] 微点的PD很强大 国产的骄傲啊 谢谢提供，辛苦了。 已更新~ o(∩_∩)o...哈哈，强大的微点！[:xi14:] [:xi14:] [:01:] 呵呵，没有最好，只有更好 微点，国产的希望。