高质量 过大部分杀软扫描 卡巴360均被过扫描

小v可

谁来双击测下主防啊~~~



从美国的一个邮件里提取的~~~ 伪装成adobe文件 欺骗用户 里面的文件夹用处不明 属性为只读和隐藏文件 已经被我改为可见 然后重新打包了 目测是下载者


VirSCAN.org Scanned Report :
Scanned time   : 2012/05/10 15:11:30 (CST)
Scanner results: 17%的杀软(6/36)报告发现病毒
File Name      : Label_Parcel_ID5814-45US.exe
File Size      : 33280 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : 2354de45bc7cdd03cedb99842db886cd
SHA1           : e6e408d5f9aa2d8cafc3c4436976c92bd6781b6b
Online report  : http://r.virscan.org/023d967ad0395a7b2e48c255940d7c6c

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      5.1.0.4         20120509100118    2012-05-09  0.97   Trojan-Downloader.Win32.Kuluoz!IK
安博士V3       2012.03.26.00   2012.03.26        2012-03-26  2.34   -
AntiVir        8.2.10.58       7.11.28.226       2012-04-27  0.17   -
安天           2.0.18          2.0.18.           0002-18-00  0.28   -
Arcavir        2011            201205081507      2012-05-08  4.68   -
Authentium     5.1.1           201205091804      2012-05-09  1.57   W32/Trojan2.NRFZ (Exact)
AVAST!         4.7.4           120509-1          2012-05-09  0.20   -
AVG            12.0.1782       2425/4988         2012-05-09  0.36   -
BitDefender    7.90123.7155731 7.42212           2012-05-09  3.65   -
ClamAV         0.97.3          14905             2012-05-10  0.20   Suspect.Trojan.Generic.FD-1
Comodo         5.1             12276             2012-05-10  2.52   -
CP Secure      1.3.0.5         2012.05.10        2012-05-10  0.26   -
Dr.Web         7.0.1.2210      2012.05.09        2012-05-09  13.84  Trojan.Inject1.2047
F-Prot         4.6.2.117       20120509          2012-05-09  1.19   -
F-Secure       7.02.73807      2012.05.09.07     2012-05-09  2.51   -
飞塔           4.3.392         15.519            2012-05-09  0.34   -
GData          22.4914         20120510          2012-05-10  5.15   -
ViRobot        20120509        2012.05.09        2012-05-09  0.41   -
Ikarus         T3.1.32.20.0    2012.05.10.81151  2012-05-10  5.26   Trojan-Downloader.Win32.Kuluoz
江民杀毒       13.0.900        2012.05.10        2012-05-10  2.16   -
卡巴斯基       5.5.10          2012.05.10        2012-05-10  0.53   -
金山毒霸       2009.2.5.15     2012.5.10.9       2012-05-10  0.94   -
迈克菲         5400.1158       6706              2012-05-09  8.91   -
Microsoft      1.8304          2012.05.09        2012-05-09  5.39   TrojanDownloader:Win32/Kuluoz.A
NOD32          3.0.21          7124              2012-05-09  0.40   -
熊猫卫士       9.05.01         2012.05.09        2012-05-09  2.42   -
趋势科技       9.500-1005      8.986.01          2012-05-09  0.28   -
Quick Heal     11.00           2012.05.09        2012-05-09  1.01   -
瑞星           20.0            24.09.03.01       2012-05-10  2.99   -
Sophos         3.31.1          4.77              2012-05-10  4.63   -
Sunbelt        3.9.2537.2      11898             2012-05-09  1.05   -
赛门铁克       1.3.0.24        20120509.002      2012-05-09  0.65   -
nProtect       20120509.02     11259807          2012-05-09  1.34   -
The Hacker     6.8.0.0         v00006            2012-05-09  0.57   -
VBA32          3.12.16.4       20120508.1956     2012-05-08  3.50   -
VirusBuster    5.5.0.2         14.2.63.2/8706400 2012-05-10  0.35   -





SHA256:        eca6edbacfe19f9b9f7598a9a2a31649a763a6ebf3ef8ee5d1a8acd548fcf24c
SHA1:        e6e408d5f9aa2d8cafc3c4436976c92bd6781b6b
MD5:        2354de45bc7cdd03cedb99842db886cd
File size:        32.5 KB ( 33280 bytes )
File name:        Label_Parcel_ID5814-45US.exe
File type:        Win32 EXE
Detection ratio:        11 / 40
Analysis date:         2012-05-10 07:10:27 UTC ( 0 分钟 ago )
00
More details
Antivirus        Result        Update
AhnLab-V3        -        20120509
AntiVir        -        20120509
Antiy-AVL        -        20120510
Avast        -        20120509
AVG        -        20120510
BitDefender        -        20120510
ByteHero        -        20120509
CAT-QuickHeal        -        20120510
ClamAV        Suspect.Trojan.Generic.FD-1        20120510
Commtouch        W32/Trojan2.NRFZ        20120510
Comodo        -        20120510
DrWeb        Trojan.Inject1.2047        20120510
Emsisoft        Trojan-Downloader.Win32.Kuluoz!IK        20120510
eSafe        -        20120509
eTrust-Vet        -        20120509
F-Prot        -        20120509
F-Secure        -        20120510
Fortinet        -        20120508
GData        -        20120510
Ikarus        Trojan-Downloader.Win32.Kuluoz        20120510
Jiangmin        -        20120510
K7AntiVirus        -        20120509
Kaspersky        -        20120509
McAfee        Artemis!2354DE45BC7C        20120510
McAfee-GW-Edition        Artemis!2354DE45BC7C        20120510
Microsoft        TrojanDownloader:Win32/Kuluoz.A        20120510
NOD32        -        20120510
Norman        -        20120509
nProtect        -        20120510
PCTools        -        20120510
Rising        -        20120510
SUPERAntiSpyware        -        20120510
Symantec        -        20120510
TheHacker        Posible_Worm32        20120510
TrendMicro        PAK_Generic.001        20120509
TrendMicro-HouseCall        PAK_Generic.001        20120509
VBA32        -        20120508
VIPRE        -        20120510
ViRobot        -        20120510
VirusBuster        -

消停

诺顿扫描被过

智能分析判断为不可信
完整路径: F:\样本\Label_Parcel_ID5814-45US.exe
____________________________
____________________________
开发人员 不可用
版本 不可用
安装时间 2012-5-10 ( 15:19:42 )
上次使用时间 不可用
启动项目 否
____________________________
____________________________
未知
此程序的崩溃历史记录未知。
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
不良
有许多迹象表明此文件不可信。
____________________________
源文件:
winrar.exe

创建的文件:
label_parcel_id5814-45us.exe
____________________________
文件指纹 - SHA:
eca6edbacfe19f9b9f7598a9a2a31649a763a6ebf3ef8ee5d1a8acd548fcf24c
____________________________
文件指纹 - MD5:
2354de45bc7cdd03cedb99842db886cd
____________________________


双击后样本消失，sonar哑火！系统被添加启动项及其他（太多了）


谁有虚拟机双击后重启一下再试试sonar杀不杀！

绅博周幸

Nocria

To ESET & AVG.

krwang

注入被拦截了，没了。。。

小v可

krwang 发表于 2012-5-10 15:22
注入被拦截了，没了。。。

重启看看系统有问题没~~~ 要是360主防被过 就杯具了~~

ujty

MSE居然是首批可杀。。。

krwang

小v可 发表于 2012-5-10 15:24
重启看看系统有问题没~~~ 要是360主防被过 就杯具了~~

木有漏，剩下那个尸体了~

liping1994

金山

a256886572008

krwang 发表于 2012-5-10 15:22
注入被拦截了，没了。。。

那个被注入的 svchost.exe 不是系统进程，而是病毒的子进程，所以允许也没差。

TF 对於被调用的 svchost.exe 不会理会，故这类样本 可轻易绕过 TF。