★★★ 帮忙分析一个DLL文件，非常感谢！★★★

显示全部楼层 · 发表于 2012-6-17 00:17:44

文件属于论坛长头像上传工具“Cheat Engine 5.6”，卡巴高启发扫描无威胁，运行时有拦截到类似键盘记录行为。今天用大蜘蛛6.0绿色版全盘扫了下系统，共扫出14项“病毒”，概括只有3个文件，另外两个看图标像是QQ宠物和支付宝的.exe文件。
大蜘蛛扫描结果列表：
dbk32.dll;C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\SandboxShared\Cheat Engine 5.6;Trojan.MulDrop3.49526;;

KernelStartHelper.exe;C:\Documents and Settings\All Users\Application Data\QQPet\QQPetAgent;Trojan.Click2.22944;;

kernelstarthelper.exe;C:\Documents and Settings\All Users\Application Data\QQPet\QQPetAgent\Temp\KernelUpdate;Trojan.Click2.22944;;

dbk32.dll;C:\Documents and Settings\All Users\Kaspersky Lab\SandboxShared\Cheat Engine 5.6;Trojan.MulDrop3.49526;;

KernelStartHelper.exe;C:\Documents and Settings\All Users\QQPet\QQPetAgent;Trojan.Click2.22944;;

kernelstarthelper.exe;C:\Documents and Settings\All Users\QQPet\QQPetAgent\Temp\KernelUpdate;Trojan.Click2.22944;;

uninst.exe;C:\Program Files\alipay\SafeTransaction;Trojan.DownLoader6.17580;;

dbk32.dll;C:\ProgramData\Kaspersky Lab\SandboxShared\Cheat Engine 5.6;Trojan.MulDrop3.49526;;

KernelStartHelper.exe;C:\ProgramData\QQPet\QQPetAgent;Trojan.Click2.22944;;

kernelstarthelper.exe;C:\ProgramData\QQPet\QQPetAgent\Temp\KernelUpdate;Trojan.Click2.22944;;

dbk32.dll;C:\Users\All Users\Kaspersky Lab\SandboxShared\Cheat Engine 5.6;Trojan.MulDrop3.49526;;

KernelStartHelper.exe;C:\Users\All Users\QQPet\QQPetAgent;Trojan.Click2.22944;;

kernelstarthelper.exe;C:\Users\All Users\QQPet\QQPetAgent\Temp\KernelUpdate;Trojan.Click2.22944;;

dbk32.dll;D:\绿软\Cheat Engine 5.6;Trojan.MulDrop3.49526;;

显示全部楼层 · 发表于 2012-6-17 00:44:15

本帖最后由 wjcharles 于 2012-6-17 00:46 编辑

应该都没问题。。。

完整路径: C:\Users\ssHss\Downloads\dbk32\dbk32.dll
____________________________
____________________________
开发人员不可用
版本不可用
安装时间 2012/6/17 ( 0:43:20 )
上次使用时间不可用
启动项目否
____________________________
____________________________
____________________________
多数用户信任的文件
诺顿社区中有数万名用户使用了此文件。
____________________________
发布已久的文件
该文件已在 1 年 11 个月前发行。
____________________________
良好
诺顿为此文件指定的分级为良好。
____________________________
源文件:
winrar.exe

创建的文件:
dbk32.dll
____________________________
文件指纹 - SHA:
db623926b7925d936b9e6ee1c4b53b62afedceb6486aa7824e43a90d7b66364b
____________________________
文件指纹 - MD5:
f6f725be353177e2540e0ce81010d3d5
____________________________

完整路径: C:\Users\ssHss\Downloads\kernelstarthelper\kernelstarthelper.exe
____________________________
____________________________
开发人员 Tencent Technology(Shenzhen) Company Limited
版本 7.9.0.1
安装时间 2012/6/17 ( 0:43:20 )
上次使用时间不可用
启动项目否
____________________________
____________________________
可靠
通常情况下，使用此程序很少崩溃。
____________________________
多数用户信任的文件
诺顿社区中有几十万用户使用了此文件。
____________________________
发布已久的文件
该文件已在 1 年 7 个月前发行。
____________________________
信任
诺顿为此文件指定的分级为可信。
____________________________
源文件:
winrar.exe

创建的文件:
kernelstarthelper.exe
____________________________
文件指纹 - SHA:
47e9149b285474147d8c654c943b63779da820e29efeeb41a56133fb10959a76
____________________________
文件指纹 - MD5:
8c50049f4b4f5fe8f5f90752b7e2b7d1
____________________________

完整路径: C:\Users\ssHss\Downloads\uninst (1)\uninst.exe
____________________________
____________________________
开发人员不可用
版本 4.1.0.0
安装时间 2012/6/17 ( 0:43:20 )
上次使用时间不可用
启动项目否
____________________________
____________________________
未知
此程序的崩溃历史记录未知。
____________________________
多数用户信任的文件
诺顿社区中有数万名用户使用了此文件。
____________________________
新建的文件
该文件已在 9 天前发行。
____________________________
良好
诺顿为此文件指定的分级为良好。
____________________________
源文件:
winrar.exe

创建的文件:
uninst.exe
____________________________
文件指纹 - SHA:
102d7002696de0912350befe5f6394c703977473039951eba23c4c966b7abd65
____________________________
文件指纹 - MD5:
3d45a4f50af132a4b724b7d39cbded40
____________________________

显示全部楼层 · 发表于 2012-6-17 00:45:31

本帖最后由 4毛5的诺顿于 2012-6-17 00:56 编辑

大蜘蛛：

我之前也发现大蜘蛛会报QQ宠物

保险起见，三个文件都扔到virscan上多引擎扫描去了，
结果，三个鉴定页面都卡在蜘蛛引擎上很久了！！！进度都是33%不动了，怎么回事！！！

显示全部楼层 · 发表于 2012-6-17 00:56:51

大蜘蛛误报国内的许多软件，比如：金山、360、迅雷和QQ宠物。

显示全部楼层 · 发表于 2012-6-17 01:08:27

现在在计算机安全方面比较警惕的人，都拒绝安装运行任何来历不明的软件了。其中很多都是有风险的，有的毒VirusTotal去查是0/42，但确实是毒。

显示全部楼层 · 发表于 2012-6-17 01:25:24

本帖最后由 humanlwj52 于 2012-6-17 01:33 编辑

ESET

C:\Users\TOSHIBA\Desktop\uninst\dbk32.dll - Win32/HackTool.CheatEngine.AA 潜在的不安全应用程序的变种

kernelstarthelper.exe 没有什么问题。

uninst.exe 则比较可疑了。
自我复制；
调用 cmd.exe 和 conime.exe.

To ESET.

显示全部楼层 · 发表于 2012-6-17 07:48:32

AVIRA MISS

显示全部楼层 · 发表于 2012-6-17 08:30:54

那个dll好像要加载什么驱动，那个QQ的由腾讯的数字签名。
uninst.exe会删除所在文件夹的文件，好像就是一个卸载程序。

显示全部楼层 · 发表于 2012-6-17 20:29:18

显示全部楼层 · 发表于 2012-6-18 22:38:39

FSCS未报，所以应该上报么……

[可疑文件] ★★★ 帮忙分析一个DLL文件，非常感谢！★★★

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

评分

本帖子中包含更多资源