好猛的样本，只有2家报毒。。有金山的数字签名，是个下载器病毒

显示全部楼层 · 发表于 2012-7-3 11:02:06

360 pass
http://camas.comodo.com/cgi-bin/ ... 1b0e5ab4a9df063df04
毛豆沙盘也没报。

显示全部楼层 · 发表于 2012-7-3 11:02:08

大蜘蛛：
sogouinput.exe infected with Trojan.PWS.Spy.12210

显示全部楼层 · 发表于 2012-7-3 11:09:10

本帖最后由Ｍy↘じ★ve 于 2012-7-3 22:53 编辑

过360

显示全部楼层 · 发表于 2012-7-3 11:09:41

rising 2012 杀了！

显示全部楼层 · 发表于 2012-7-3 11:14:24

哦，不只是联网，还在零时文件目录下生成文件。就是下载相关文件到临时文件夹下。。。。。唉。。。

显示全部楼层 · 发表于 2012-7-3 11:15:54

毒霸果然miss

显示全部楼层 · 发表于 2012-7-3 11:18:45

并非从互联网下载文件都是下载者啊！Dr.Web对这个样本的描述已经非常清楚了：
Trojan.PWS.Spy.12210
Added to Dr.Web virus database: 2011-09-26
Virus description was added: 2011-09-26
Technical Information

Malicious functions:
Creates and executes the following:
"%TEMP%\kingsoftkonline\kavsetups_16_0.exe" (downloaded from the Internet)
Modifies file system :
Creates the following files:
%TEMP%\kingsoftkonline\kavsetups_16_0.exe.tmp
Network activity:
Connects to:
'cd###.www.duba.net':80
'bo.###a.net:8080':80
TCP:
HTTP GET requests:
cd###.www.duba.net/duba/install/2011/ever/kavsetups_16_0.exe
bo.###a.net:8080/pagetracer2/duba/__utm.gif?01#######################################################################################################################
UDP:
DNS ASK cd###.www.duba.net
DNS ASK bo.###a.net:8080

详见：http://vms.drweb.com/virus/?i=1445260
貌似针对的是金山啊！

显示全部楼层 · 发表于 2012-7-3 11:24:46

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/7/3 ( 11:23:56 )
上次使用时间 2012/7/3 ( 11:23:56 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

源文件:
winrar.exe

创建的文件:
sogouinput.exe
____________________________
文件操作
文件: c:\users\yw\desktop\sogouinput.exe
已删除
____________________________
网络操作
事件: 网络活动 (执行者 c:\users\yw\desktop\sogouinput.exe, PID:3036)
未采取操作
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\yw\desktop\sogouinput.exe, PID:3796)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2012-7-3 11:25:28

http://fireeye.ijinshan.com/anal ... 6e2106a33b1134605f6
伪签名

[病毒样本] 好猛的样本，只有2家报毒。。有金山的数字签名，是个下载器病毒

本帖子中包含更多资源