毒霸误报漏报搜集专贴

terain

     由于毒霸的查杀引擎和鉴定器，在不断的改进和更新，可能会出现病毒漏报误报的情况，很多用户不知道如何反馈，特开此专贴收集样本信息。

样本提交说明：
1.请回帖将误杀文件打包以附件形式上传，如果文件太大请发到115网盘（或者是T盘等其他共享方式），再贴链接。
2.没有样本的请说明下载地址，工程师会快捷收集。
3.如果你觉得上传附件麻烦，你可以加工程师QQ:1339303861直接沟通。
4.本贴回帖不支持灌水等回复，一经发现会立即删除.

其他Q&A：
1.哪些样本需要上报？
   毒霸查杀扫描或者防御报了你认为不应该报的文件。或者你认为是病毒，但毒霸扫描不报的文件。如果你找不到文件，你可以提交截图让我们工程师来判断。
2.毒霸处理误报和漏报需要多长时间？
   我们搜集到相关文件都会第一时间处理回复，确保当天误报解除，漏报文件处理完毕。周末和节假日会及时收集，但不紧急的会稍晚。

欢迎大家提供样本，我们会努力改进我们的引擎和鉴定器，给大家提供一个安全的电脑环境。

HM、

顶下  欢迎大家及时反馈漏报文件

郑伟

楼下各位同学注意一下，无关回复，我会删除，所以只限于提供样本，谢谢合作

simple8848

我们软件用Inno Setup 5打包脚本写注册软件文件扩展名，为什么还拦截下来，你都认为程序没有毒了，这样我们软件就不能直接通过双击文件来打开了
[Registry]
Root: HKCR; Subkey: openpwfile; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwfile\Shell; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwfile\Shell\open; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwfile\Shell\open\command; ValueData: {app}\cprice.exe %1; ValueType: string; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwfile\DefaultIcon; ValueData: {app}\pw.ico,0; ValueType: string
Root: HKCR; Subkey: .pw; ValueType: string; ValueData: openpwfile

Root: HKCR; Subkey: openpwazfile; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwazfile\Shell; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwazfile\Shell\open; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwazfile\Shell\open\command; ValueData: {app}\cprice.exe %1; ValueType: string; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwazfile\DefaultIcon; ValueData: {app}\pwaz.ico,0; ValueType: string
Root: HKCR; Subkey: .pwaz; ValueType: string; ValueData: openpwazfile

Root: HKCR; Subkey: openpwjzfile; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwjzfile\Shell; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwjzfile\Shell\open; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwjzfile\Shell\open\command; ValueData: {app}\cprice.exe %1; ValueType: string; Flags: createvalueifdoesntexist
Root: HKCR; Subkey: openpwjzfile\DefaultIcon; ValueData: {app}\pwjz.ico,0; ValueType: string
Root: HKCR; Subkey: .pwjz; ValueType: string; ValueData: openpwjzfile

terain

simple8848 发表于 2011-12-14 10:55
我们软件用Inno Setup 5打包脚本写注册软件文件扩展名，为什么还拦截下来，你都认为程序没有毒了，这样我们 ...

您好，麻烦直接上传一下误报的文件。

郑伟

漏报 CookfdSetup.zip (240.31 KB, 下载次数: 27)

2011-12-14 11:49:54 上传

下载次数: 27

2011-12-14 11:26:00    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
命令行: "C:\Documents and Settings\Administrator\桌面\CookfdSetup\CookfdSetup.exe"
规则: [应用程序]*

2011-12-14 11:26:07    访问网络    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: UDP [本机 : 1060] ->  [127.0.0.1 : 1060]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-12-14 11:26:09    访问网络    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: TCP [本机 : 1061] ->  [118.218.136.128 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-12-14 11:26:15    访问网络    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: TCP [本机 : 1068] ->  [118.218.136.128 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-12-14 11:26:29    访问网络    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: TCP [本机 : 1070] ->  [121.125.76.202 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-12-14 11:26:45    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\Program Files\cookfolder\CookFolderHook.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-12-14 11:26:53    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\Program Files\cookfolder\CookFolderUpdate.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-12-14 11:26:56    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\Program Files\cookfolder\CookUtil.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-12-14 11:27:01    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\Program Files\cookfolder\FolderHide.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-12-14 11:27:05    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\Program Files\cookfolder\Seven\fx.sys
规则: [文件组]所有执行文件 -> [文件]*; *.sys

2011-12-14 11:27:10    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\Program Files\cookfolder\Vista\fx.sys
规则: [文件组]所有执行文件 -> [文件]*; *.sys

2011-12-14 11:27:15    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\Program Files\cookfolder\XP\fx.sys
规则: [文件组]所有执行文件 -> [文件]*; *.sys

2011-12-14 11:27:19    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\Program Files\cookfolder\CFUninstall.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-12-14 11:27:22    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\Program Files\cookfolder\CookFolder.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-12-14 11:27:33    删除注册表值    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\CookFolderUpdate
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2011-12-14 11:27:38    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\CookFolderUpdate
值: C:\Program Files\cookfolder\CookFolderUpdate.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2011-12-14 11:27:40    访问网络    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: TCP [本机 : 1074] ->  [118.218.136.128 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-12-14 11:27:48    创建文件    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: C:\WINDOWS\system32\drivers\Fx.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2011-12-14 11:27:53    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\cookfdsetup\cookfdsetup.exe
目标: c:\program files\cookfolder\cookfolder.exe
命令行: "C:\Program Files\cookfolder\CookFolder.exe"
规则: [应用程序]*

2011-12-14 11:28:07    修改注册表值    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
值: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
规则: [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Shell Folders; *Startup

2011-12-14 11:28:17    修改注册表值    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Startup
值: C:\Documents and Settings\All Users\「开始」菜单\程序\启动
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Shell Folders; *Startup

2011-12-14 11:28:23    创建注册表项    阻止
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FxSys
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2011-12-14 11:28:26    访问网络    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: TCP [本机 : 1089] ->  [114.108.170.138 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-12-14 11:28:35    创建新进程    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: c:\windows\system32\regsvr32.exe
命令行: "C:\WINDOWS\system32\regsvr32.exe" /s /u "C:\Program Files\cookfolder\CookFolderHook.dll"
规则: [应用程序]*

2011-12-14 11:28:47    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\program files\cookfolder\cookfolder.exe
命令行: "C:\Program Files\cookfolder\CookFolder.exe"
规则: [应用程序]*

2011-12-14 11:28:50    修改注册表值    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
值: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
规则: [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Shell Folders; *Startup

2011-12-14 11:28:52    修改注册表值    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Startup
值: C:\Documents and Settings\All Users\「开始」菜单\程序\启动
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Shell Folders; *Startup

2011-12-14 11:28:57    修改文件    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: C:\WINDOWS\system32\drivers\Fx.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2011-12-14 11:29:09    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FxSys
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2011-12-14 11:29:24    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FxSys\ImagePath
值: system32\drivers\Fx.sys
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2011-12-14 11:29:29    加载驱动程序    允许
进程: c:\windows\system32\services.exe
目标: c:\windows\system32\drivers\fx.sys
规则: [应用程序]c:\windows\system32\services.exe

2011-12-14 11:29:30    访问网络    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: TCP [本机 : 1101] ->  [114.108.170.138 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-12-14 11:29:35    底层磁盘写操作    阻止
进程: c:\program files\cookfolder\cookfolder.exe
目标: \Device\Ide\IdePort0
规则: [应用程序]*

2011-12-14 11:29:37    底层磁盘写操作    阻止
进程: c:\program files\cookfolder\cookfolder.exe
目标: \Device\Ide\IdePort0
规则: [应用程序]*

2011-12-14 11:29:38    底层磁盘写操作    阻止
进程: c:\program files\cookfolder\cookfolder.exe
目标: \Device\Ide\IdePort1
规则: [应用程序]*

2011-12-14 11:29:39    底层磁盘写操作    阻止
进程: c:\program files\cookfolder\cookfolder.exe
目标: \Device\Ide\IdePort1
规则: [应用程序]*

2011-12-14 11:29:40    创建文件    阻止
进程: c:\program files\cookfolder\cookfolder.exe
目标: C:\cfsecufd292515.ini
规则: [文件]?:\

2011-12-14 11:29:42    访问网络    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: UDP [本机 : 1104] ->  [127.0.0.1 : 1104]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-12-14 11:29:43    访问网络    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: TCP [本机 : 1105] ->  [118.218.136.128 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-12-14 11:29:49    创建文件    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: C:\cfsecufd292515.ini
规则: [文件]?:\

2011-12-14 11:29:53    创建新进程    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: c:\windows\system32\regsvr32.exe
命令行: "C:\WINDOWS\system32\regsvr32.exe" /s "C:\Program Files\cookfolder\CookFolderHook.dll"
规则: [应用程序]*

2011-12-14 11:30:13    修改文件    允许
进程: c:\program files\cookfolder\cookfolder.exe
目标: C:\cfsecufd292515.ini
规则: [文件]?:\

安全专家023

郑伟 发表于 2011-12-14 11:50
漏报

郑， 样本已经收集了 待确认后 再给你QQ留言吧

安全专家023

simple8848 发表于 2011-12-14 10:55
我们软件用Inno Setup 5打包脚本写注册软件文件扩展名，为什么还拦截下来，你都认为程序没有毒了，这样我们 ...

simple8848 同学 麻烦你提供下安装包 或者  下载地址 我试试看

KSDA175215582

surhost.rar (225.53 KB, 下载次数: 19)

2011-12-14 12:36:58 上传

下载次数: 19

遗漏的病毒样本，安装附带在光盘一些破解的游戏软件上，毒霸经常没杀的，只是报了，杀不了附带光盘镜像上的

夜ㄝ殇

疑似误报： 自动转移.rar (290.33 KB, 下载次数: 25)

2011-12-14 13:23:39 上传

下载次数: 25

安全专家023

KSDA175215582 发表于 2011-12-14 12:37
遗漏的病毒样本，安装附带在光盘一些破解的游戏软件上，毒霸经常没杀的，只是报了，杀不了附带光盘镜像上的

样本在我这边可以 查杀 在光盘里面不能查杀是 因为已经写进到光盘的空间里面去了

安全专家023

夜ㄝ殇 发表于 2011-12-14 13:23
疑似误报：

样本已经在当天去除误报了

￠`赱榊ル`灬.

文件有点大..发个下载地址吧http://19.duote.com.cn/duotediy.exe

引用页：http://www.duote.com/soft/7331.html

mts0204

本人新购买的域名www.46000.net    被贵公司劫持`````望解决``

郑伟

漏报

set.rar (106.69 KB, 下载次数: 10)

2011-12-18 11:49:33 上传

下载次数: 10

files.zip (520.53 KB, 下载次数: 11)

2011-12-18 11:49:31 上传

下载次数: 11

files2.zip (169.35 KB, 下载次数: 10)

2011-12-18 11:49:21 上传

下载次数: 10

[a 1fb3.rar (76.62 KB, 下载次数: 10)

2011-12-18 11:49:17 上传

下载次数: 10

tt MoviePlayer.zip (400.75 KB, 下载次数: 9)

2011-12-18 12:11:08 上传

下载次数: 9

ac rundll32.rar (201.04 KB, 下载次数: 9)

2011-12-18 12:11:00 上传

下载次数: 9

h]16720019[/attach]

郑伟

卡饭漏报

readme.zip (70.21 KB, 下载次数: 10)

2011-12-18 16:02:12 上传

下载次数: 10

EndlinkerUninstaller.zip (91.53 KB, 下载次数: 8)

2011-12-18 16:02:10 上传

下载次数: 8

郑伟

卡饭漏报

郑伟

卡饭漏报

bot.zip (299 KB, 下载次数: 10)

2011-12-18 17:38:50 上传

下载次数: 10

安全专家023

郑伟 发表于 2011-12-18 17:38
卡饭漏报

上面提供的样本都已经收集了

安全专家023

郑伟 发表于 2011-12-18 17:38
卡饭漏报

上面提供的样本都已经收集了