測主防，一個 downloader

显示全部楼层 · 发表于 2011-8-12 19:43:23

密碼：123

實機雙擊運行，測主防吧

显示全部楼层 · 发表于 2011-8-12 19:43:54

E94E3126.EXE

2011-08-12 19:19:26 C:\Documents and Settings\Roger\桌面\virus\E94E3126\E94E3126.EXE Sandboxed As Partially Limited

2011-08-12 19:19:39 C:\Documents and Settings\Roger\桌面\virus\E94E3126\E94E3126.EXE Modify Key HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\conhost

2011-08-12 19:19:39 C:\Documents and Settings\Roger\桌面\virus\E94E3126\E94E3126.EXE Modify Key HKUS\S-1-5-21-1390067357-1647877149-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable

2011-08-12 19:22:42 C:\Documents and Settings\Roger\桌面\virus\E94E3126\E94E3126.EXE Access COM Interface {8BC3F05E-D86B-11D0-A075-00C04FB68820}

2011-08-12 19:22:42 C:\Documents and Settings\Roger\桌面\virus\E94E3126\E94E3126.EXE Modify File C:\WINDOWS\system32\wbem\Logs\wbemprox.log

dwm.exe

2011-08-12 19:19:55 C:\Documents and Settings\Roger\Application Data\dwm.exe Sandboxed As Partially Limited

2011-08-12 19:20:08 C:\Documents and Settings\Roger\Application Data\dwm.exe Modify Key HKUS\S-1-5-21-1390067357-1647877149-839522115-1003\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell

csrss.exe

2011-08-12 19:20:22 C:\DOCUME~1\Roger\LOCALS~1\Temp\csrss.exe Sandboxed As Partially Limited

2011-08-12 19:20:28 C:\Documents and Settings\Roger\Local Settings\Temp\csrss.exe Modify Key HKUS\S-1-5-21-1390067357-1647877149-839522115-1003\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load

第3個，就是 fake alert 了

显示全部楼层 · 发表于 2011-8-12 19:46:24

本帖最后由 Palkia 于 2011-8-12 19:48 编辑

金山报4个，上报3个

全部可以查杀

显示全部楼层 · 发表于 2011-8-12 19:58:10

母体应该是Cycbot.
运行母体后，AVAST的网络防护阻挡了8个恶意URL；
没见下载了什么，只有母体cycbot的衍生物..

显示全部楼层 · 发表于 2011-8-12 20:03:15

eset kill 4x（下载物3，母体1），miss 3x（都是下载物）
C:\Documents and Settings\Administrator\桌面\E94E3126\E94E3126.EXE - Win32/Kryptik.RND 特洛伊木马的变种 - 通过删除清除 - 已隔离
C:\Documents and Settings\Administrator\桌面\E94E3126dload\At0.exe - Win32/Kryptik.RNR 特洛伊木马的变种 - 通过删除清除 - 已隔离
C:\Documents and Settings\Administrator\桌面\E94E3126dload\csrss.exe - Win32/Kryptik.RND 特洛伊木马的变种 - 通过删除清除 - 已隔离
C:\Documents and Settings\Administrator\桌面\E94E3126dload\dwm.exe - Win32/Kryptik.RIR 特洛伊木马的变种 - 通过删除清除 - 已隔离

to eset
http://samples.nod32.com.sg/inde ... 40c2883f3d16e70e08f
http://samples.nod32.com.sg/inde ... de4e6eda7cdd62ee961
http://samples.nod32.com.sg/inde ... 89f79a633441c69aee9

显示全部楼层 · 发表于 2011-8-12 20:09:12

MP kills

显示全部楼层 · 发表于 2011-8-12 20:17:10

费尔过了4个

显示全部楼层 · 发表于 2011-8-12 20:21:32

金山K+解压后KO掉

显示全部楼层 · 发表于 2011-8-12 21:02:45

360SD清空
病毒扫描结果
----------------------
C:\Documents and Settings\Administrator\桌面\E94E3126dload\At0.exe 行为和木马比较相似的程序已删除
C:\Documents and Settings\Administrator\桌面\E94E3126dload\At1.exe 行为和木马比较相似的程序已删除
C:\Documents and Settings\Administrator\桌面\E94E3126dload\At2.exe 木马(Win32/Trojan.bdc) 已删除
C:\Documents and Settings\Administrator\桌面\E94E3126dload\B82.exe 木马(Win32/Trojan.bdc) 已删除
C:\Documents and Settings\Administrator\桌面\E94E3126dload\csrss.exe 伪装成Windows系统文件的程序已删除
C:\Documents and Settings\Administrator\桌面\E94E3126dload\dwm.exe 伪装成Windows系统文件的程序已删除
C:\Documents and Settings\Administrator\桌面\E94E3126\E94E3126.EXE 行为和木马比较相似的程序已删除

显示全部楼层 · 发表于 2011-8-12 21:05:32

大蜘蛛发现2个衍生物：
e94e3126dload\at0.exe - infected with Trojan.Inject.52069
e94e3126dload\dwm.exe - infected with Trojan.Packed.2234
e94e3126dload\dwm.exe - packed by FLY-CODE
余下已上报！

[病毒样本] 測主防，一個 downloader

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源