收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 魔力宝贝si-fu客户端是rootkit
12下一页
返回列表 发新帖
查看: 3920|回复: 14
收起左侧

[病毒样本] 魔力宝贝si-fu客户端是rootkit

[复制链接]
jhtl
发表于 2009-4-20 13:06:24 | 显示全部楼层 |阅读模式
一个dll小红报木马，bd启发报，咖啡报，其余不报；一个驱动是用ssm抓到的，不是腾讯原来的那个了，已经被魔力si-fu程序修改过，无腾讯公司签名，加载后，用Rootkitunhook打开看，ssdt挂打开进程，创建进程几项，还有其他几个，具体忘记了。
高手看下是否是木马？那个驱动就趋势报。




原程序下载地址：http://www.52moli.com/download.htm 有兴趣的可以下载下来试试看，感觉是木马，就是不能肯定，红伞报dropper，和dropper很像，除了红伞bd也报，ssm下，除了加载驱动，还有键盘读取。本身也是冒充腾讯驱动，8成是，可是报得没几个。
这个是腾讯原文件，在windows system32目录下，不是病毒：
运行si-fu登录器后，这个文件会被上面同名文件覆盖。

4月26日更新：
    已证实，确实是木马红伞最新报已知：
    C:\Documents and Settings\*\桌面\可疑文件\TesSafe.sys
    [DETECTION] Contains recognition pattern of the RKIT/Agent.10240 root kit
这个驱动20日发帖时只有 趋势 一家报，而且好像记得是启发。看来趋势的实力还是不容忽视。
附上最新扫描结果：

a-squared4.0.0.1012009.04.26-
AhnLab-V35.0.0.22009.04.24-
AntiVir7.9.0.1562009.04.25Rkit/Agent.10240
Antiy-AVL2.0.3.12009.04.24-
Authentium5.1.2.42009.04.25-
Avast4.8.1335.02009.04.25-
AVG8.5.0.2872009.04.25-
BitDefender7.22009.04.26-
CAT-QuickHeal10.002009.04.25-
ClamAV0.94.12009.04.25-
Comodo11352009.04.25-
DrWeb4.44.0.091702009.04.26-
eSafe7.0.17.02009.04.23-
eTrust-Vet31.6.64752009.04.24-
F-Prot4.4.4.562009.04.25-
F-Secure8.0.14470.02009.04.25-
Fortinet3.117.0.02009.04.25-
GData192009.04.26-
IkarusT3.1.1.49.02009.04.26-
K7AntiVirus7.10.7162009.04.25-
Kaspersky7.0.0.1252009.04.26-
McAfee55962009.04.25-
McAfee+Artemis55962009.04.25-
McAfee-GW-Edition6.7.62009.04.26Rootkit.Agent.10240
Microsoft1.46022009.04.25-
NOD3240352009.04.25-
Norman6.00.062009.04.24-
nProtect2009.1.8.02009.04.25-
Panda10.0.0.142009.04.25Suspicious file
PCTools4.4.2.02009.04.25-
Prevx13.02009.04.26High Risk Worm
Rising21.26.52.002009.04.25RootKit.Win32.Undef.cbp
Sophos4.41.02009.04.25-
Sunbelt3.2.1858.22009.04.24-
Symantec1.4.4.122009.04.26-
TheHacker6.3.4.1.3142009.04.26-
TrendMicro8.700.0.10042009.04.25Cryp_Xed-3
VBA323.12.10.32009.04.25-
ViRobot2009.4.24.17082009.04.24-
VirusBuster4.6.5.02009.04.25-


时隔半年：
反病毒引擎          版本          最后更新          扫描结果
a-squared        4.5.0.43        2009.12.30        Rootkit.Win32.Agent!IK
AhnLab-V3        5.0.0.2        2009.12.29        Win-Trojan/Agent.10240.AAJ
AntiVir        7.9.1.122        2009.12.30        Rkit/Agent.10240
Antiy-AVL        2.0.3.7        2009.12.30        Trojan/Win32.Agent.gen
Authentium        5.2.0.5        2009.12.30        W32/Rootkit.CXC
Avast        4.8.1351.0        2009.12.30        -
AVG        8.5.0.430        2009.12.30        BackDoor.Generic11.KCG
BitDefender        7.2        2009.12.30        Trojan.Generic.1796262
CAT-QuickHeal        10.00        2009.12.30        Rootkit.Agent.jbd
ClamAV        0.94.1        2009.12.30        -
Comodo        3416        2009.12.30        TrojWare.Win32.Rootkit.Agent.jbd
DrWeb        5.0.1.12222        2009.12.30        Trojan.NtRootKit.3578
eSafe        7.0.17.0        2009.12.29        Win32.Downloader
eTrust-Vet        35.1.7206        2009.12.30        -
F-Prot        4.5.1.85        2009.12.30        W32/Rootkit.CXC
F-Secure        9.0.15370.0        2009.12.30        Trojan.Generic.1796262
Fortinet        4.0.14.0        2009.12.30        W32/Agent.JBD!tr.rkit
GData        19        2009.12.30        Trojan.Generic.1796262
Ikarus        T3.1.1.79.0        2009.12.30        Rootkit.Win32.Agent
Jiangmin        13.0.900        2009.12.30        Rootkit.Agent.ol
K7AntiVirus        7.10.934        2009.12.30        Rootkit.Win32.Agent.jbd
Kaspersky        7.0.0.125        2009.12.30        Rootkit.Win32.Agent.jbd
McAfee        5846        2009.12.29        Generic.dx!dl
McAfee+Artemis        5846        2009.12.29        Generic.dx!dl
McAfee-GW-Edition        6.8.5        2009.12.30        Heuristic.BehavesLike.Win32.Rootkit.L
Microsoft        1.5302        2009.12.30        -
NOD32        4729        2009.12.30        probably a variant of Win32/Rootkit
Norman        6.04.03        2009.12.30        W32/Suspicious_Gen2.AYZF
nProtect        2009.1.8.0        2009.12.30        Trojan/W32.Rootkit.10240.H
Panda        10.0.2.2        2009.12.30        Trj/Agent.MAG
PCTools        7.0.3.5        2009.12.30        Adware.Purityscan
Prevx        3.0        2009.12.30        High Risk Worm
Rising        22.28.02.04        2009.12.30        RootKit.Win32.Undef.cbp
Sophos        4.49.0        2009.12.30        Mal/Generic-A
Sunbelt        3.2.1858.2        2009.12.30        Trojan.Win32.Generic!BT
Symantec        1.4.4.12        2009.12.30        Adware.Purityscan
TheHacker        6.5.0.3.121        2009.12.30        -
TrendMicro        9.120.0.1004        2009.12.30        Mal_Xed-3
VBA32        3.12.12.1        2009.12.30        Rootkit.Win32.Agent.jbd
ViRobot        2009.12.30.2116        2009.12.30        Spyware.Agent.RootKit.10240.A
VirusBuster        5.0.21.0        2009.12.29        Rootkit.Agent.JMHM

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

328397663
发表于 2009-4-20 13:09:10 | 显示全部楼层
样本在哪里?
回复

举报

小难民
发表于 2009-4-20 13:10:12 | 显示全部楼层
   样本呢？
回复

举报

jhtl
 楼主| 发表于 2009-4-20 13:21:20 | 显示全部楼层
已上传！~~~
回复

举报

wyq124618898
发表于 2009-4-20 15:09:57 | 显示全部楼层
BD查出有毒啊
回复

举报

揍敌客
发表于 2009-4-20 17:20:38 | 显示全部楼层
filename: 52moli.dll
virusname: Gen.Trojan
回复

举报

qkhge7
头像被屏蔽
发表于 2009-4-20 20:36:21 | 显示全部楼层
反外挂的东西而已　
回复

举报

BING126
头像被屏蔽
发表于 2009-4-20 20:45:34 | 显示全部楼层
to  McAfee
回复

举报

jhtl
 楼主| 发表于 2009-4-20 23:04:31 | 显示全部楼层
原帖由 qkhge7 于 2009-4-20 20:36 发表
反外挂的东西而已　
确定？
回复

举报

尤金卡巴斯基
发表于 2009-4-20 23:20:07 | 显示全部楼层
To KL
回复

举报

下一页 »
12下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-11-24 16:36 , Processed in 0.123869 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表