收藏本站

卡饭

 找回密码
 注册卡饭

QQ登录

只需一步,快速开始

搜索
查看: 3284|回复: 26

[病毒样本] 终极感染型中毒后装了EQ也不能根治,不信您请试试 [复制链接]

renzituo

卡饭_小有名气

Rank: 2

积分
412
技术
0
魅力
0
人气
0
注册时间
2008-5-25
发表于 2009-7-30 12:54:21 |显示全部楼层
VirSCAN.org Scanned Report :
Scanned time   : 2009/07/30 12:16:14 (CST)
Scanner results: 89%的杀软(33/37)报告发现病毒
File Name      : notepad.exe
File Size      : 177664 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : dc66548e39fc756dbcfb8a07932e4e6f
SHA1           : 79fd9b3252578130f8591fc88180f5379a8b0f44
Online report  : http://virscan.org/report/e0c91dd5bfadd328f5557850af8becd8.html

本人的EQ规则较严密。爱好是试毒成瘾。平均两天一次。之前都没中过。昨天玩CF突然掉线,今天EQ警报异常

EQ的警报主要是:修改资源管理器内存。感染WINDOW目录任意程序(描了几个都感染了),使QQ启动错误。

重装QQ,能正常上网,无严重错误。就是打开记事本程序时,它会修改什么什么文件如

2009-07-30 12:11:44 文件保护(修改文件)     操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\NOTEPAD.EXE
文件路径:C:\WINDOWS\explorer.exe


2009-07-30 10:36:45 文件保护(创建文件)     操作:阻止
进程路径:C:\WINDOWS\system32\NOTEPAD.EXE
文件路径:C:\WINDOWS\system32\rcimlby.exe


2009-07-30 09:07:41    修改其它进程内存      操作:阻止
进程路径:C:\WINDOWS\system32\winlogon.exe
目标进程:D:\Backup\QQ\QQ.exe
触发规则:所有程序规则->保护正常的进程->*\qq.exe
附件: 你需要登录才可以下载或查看附件。没有帐号?注册卡饭
renzituo

卡饭_小有名气

Rank: 2

积分
412
技术
0
魅力
0
人气
0
注册时间
2008-5-25
发表于 2009-7-30 12:58:54 |显示全部楼层
2009-07-30 12:54:33        文件保护(创建文件)     操作:阻止
进程路径:C:\Program Files\p2pover\p2pover.exe
文件路径:C:\WINDOWS\system32\rcimlby.exe
启动某个程序,狗日的就会会系统目录创建rcimlby.exe。此日志是启动了P2P
什么东东,在线等
主动防御

卡饭_职业作家

美国海军陆战队王牌狙击手

Rank: 4

积分
6005
技术
0
魅力
-2
人气
42
注册时间
2008-8-10
发表于 2009-7-30 12:59:03 |显示全部楼层
KIS2010 成功修复两个感染文件,其中Winlogon.exe卡巴没有检测到威胁

[ 本帖最后由 主动防御 于 2009-7-30 16:07 编辑 ]
附件: 你需要登录才可以下载或查看附件。没有帐号?注册卡饭
黑衣~魂

卡饭_知名作家

Rank: 4

积分
7377
技术
0
魅力
35
人气
90
注册时间
2007-2-5
发表于 2009-7-30 13:23:26 |显示全部楼层
dr.web治療修復成功

notepad.exe - infected with Win32.Expiro.1
rcimlby.exe - infected with Win32.Expiro.1

另外winlogon.exe是clean的
附件: 你需要登录才可以下载或查看附件。没有帐号?注册卡饭
aerbeisi

卡饭_正式写手

Rank: 3Rank: 3

积分
3852
技术
0
魅力
1
人气
12
注册时间
2006-12-29
发表于 2009-7-30 14:02:04 |显示全部楼层
报的名字是Win32.Kakavex.a

瑞星修复好的文件如下。
附件: 你需要登录才可以下载或查看附件。没有帐号?注册卡饭
aerbeisi

卡饭_正式写手

Rank: 3Rank: 3

积分
3852
技术
0
魅力
1
人气
12
注册时间
2006-12-29
发表于 2009-7-30 14:38:01 |显示全部楼层
原帖由 renzituo 于 2009-7-30 12:58 发表
2009-07-30 12:54:33        文件保护(创建文件)     操作:阻止
进程路径:C:\Program Files\p2pover\p2pover.exe
文件路径:C:\WINDOWS\system32\rcimlby.exe
启动某个程序,狗日的就会会系统目录创建rcimlby.exe。此日志 ...

感染exe文件,在文件尾附加上自己的代码。
在感染过程中复制原文件扩展名为ivr。会下载dll文件到系统目录。试图监视用户的网络活动和记录银行信用卡信息。也会跳出错误信息窗口迷惑用户。通过网络共享传播。
z2665

卡饭_见习作家

蓬莱本无路.....

Rank: 4

积分
5486
技术
0
魅力
0
人气
19
注册时间
2008-4-13
发表于 2009-7-30 14:44:08 |显示全部楼层
winlogon.exe不用修复的样子。还是要有杀软才行啊
附件: 你需要登录才可以下载或查看附件。没有帐号?注册卡饭
失落的手链

卡饭_见习写手

Rank: 3Rank: 3

积分
2937
技术
0
魅力
2
人气
4
注册时间
2008-12-28
发表于 2009-7-30 14:54:19 |显示全部楼层
瑞星2010
附件: 你需要登录才可以下载或查看附件。没有帐号?注册卡饭
ximo

卡饭_小有名气

Rank: 2

积分
317
技术
0
魅力
0
人气
22
注册时间
2009-3-8
发表于 2009-7-30 15:41:48 |显示全部楼层
angir

卡饭_著名点评

Rank: 5Rank: 5

积分
12021
技术
1
魅力
15
人气
348
注册时间
2009-2-15
发表于 2009-7-30 15:43:57 |显示全部楼层
程序:
F:\过微点\NOTEPAD.EXE
病毒程序生成以下文件:
1) C:\WINDOWS\SYSTEM32\OSK.EXE
2) C:\WINDOWS\SYSTEM32\MAGNIFY.EXE
3) C:\WINDOWS\SYSTEM32\UTILMAN.IVR
是否删除病毒程序及其衍生物?
您需要登录后才可以回帖 登录 | 注册卡饭

手机版|杀毒软件论坛|计算机安全|卡饭网 ( 苏ICP备07004770号 )  

GMT+8, 2012-5-18 21:19 , Processed in 3.958844 second(s), Total 6, Slave 6 queries , Gzip On, Memcache On.

Powered by Discuz! X2

回顶部