杀软全过的一个样本

yyylll66

如测试不了的，请到24楼下载附件，解压缩运行123.bat，确定后重启电脑





VirSCAN.org Scanned Report :
Scanned time   : 2009/09/26 13:27:04 (CST)
Scanner results: 全部的杀毒软件报告没有发现病毒!
File Name      : KuBo_Js.exe
File Size      : 887808 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : 556910b98a717a8d61e709f0e4164cd0
SHA1           : 0f4a435d74bbabbea5ef6737f6d1acd182a986d5
Online report  : http://virscan.org/report/e4f1814265bd7ce3896caf110d951168.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.8         20090926034008    2009-09-26  4.22   -
安博士V3       2009.09.26.01   2009.09.26        2009-09-26  0.90   -
AntiVir        8.2.1.27        7.1.6.40          2009-09-25  0.46   -
安天           2.0.18          20090925.2921637  2009-09-25  0.02   -
Arcavir        2009            200909251627      2009-09-25  0.99   -
Authentium     5.1.1           200909251511      2009-09-25  6.54   -
AVAST!         4.7.4           090925-0          2009-09-25  0.06   -
AVG            8.5.288         270.13.113/2395   2009-09-26  0.41   -
BitDefender    7.81008.4270932 7.27899           2009-09-26  3.69   -
CA (VET)       9.0.0.143       31.6.6760         2009-09-25  5.60   -
ClamAV         0.95.2          9839              2009-09-25  0.16   -
Comodo         3.11            2440              2009-09-26  0.72   -
CP Secure      1.3.0.5         2009.09.26        2009-09-26  0.14   -
Dr.Web         4.44.0.9170     2009.09.26        2009-09-26  5.71   -
F-Prot         4.4.4.56        20090925          2009-09-25  6.17   -
F-Secure       7.02.73807      2009.09.26.01     2009-09-26  0.11   -
飞塔           2.81-3.120      10.875            2009-09-25  0.45   -
GData          19.8081/19.487  20090926          2009-09-26  5.14   -
ViRobot        20090925        2009.09.25        2009-09-25  0.43   -
Ikarus         T3.1.01.72      2009.09.26.73798  2009-09-26  4.31   -
江民杀毒       11.0.800        2009.09.25        2009-09-25  4.31   -
卡巴斯基       5.5.10          2009.09.26        2009-09-26  0.07   -
金山毒霸       2009.2.5.15     2009.9.25.14      2009-09-25  0.58   -
迈克菲         5.3.00          5752              2009-09-25  3.27   -
Microsoft      1.5101          2009.09.25        2009-09-25  6.01   -
Norman         6.01.09         6.01.00           2009-09-16  1.84   -
熊猫卫士       9.05.01         2009.09.25        2009-09-25  2.53   -
趋势科技       8.700-1004      6.480.03          2009-09-25  0.04   -
Quick Heal     10.00           2009.09.25        2009-09-25  1.38   -
瑞星           20.0            21.48.50.00       2009-09-26  0.91   -
Sophos         2.90.1          4.45              2009-09-26  3.42   -
Sunbelt        5416            5416              2009-09-25  1.84   -
赛门铁克       1.3.0.24        20090925.002      2009-09-25  0.06   -
nProtect       20090926.01     5645606           2009-09-26  7.13   -
The Hacker     6.5.0.2         v00019            2009-09-25  1.05   -
VBA32          3.12.10.11      20090925.1352     2009-09-25  2.43   -
VirusBuster    4.5.11.10       10.112.49/1923858 2009-09-25  3.31   -






如测试不了的，请到24楼下载附件，解压缩运行123.bat，确定后重启电脑！



偶已测试，绝对是特流氓的恶意文件，劫持ie到[url=http://bbs.kafan.cn/goto.php#http://www.4575.cn]www.4575.cn[/url]，创建伪ie快捷方式等！

进程路径:C:\WINDOWS\System32\KuBo_Js.exe
文件路径:C:\DOCUMENTS AND SETTINGS\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Exprlore 浏览器.lnk


进程路径:C:\WINDOWS\System32\KuBo_Js.exe
文件路径:C:\DOCUMENTS AND SETTINGS\ALL USERS\桌面\最新免费电影.url


进程路径:C:\WINDOWS\System32\KuBo_Js.exe
文件路径:C:\DOCUMENTS AND SETTINGS\All Users\「开始」菜单\Internet Exprlore.lnk

"C:\Program Files\Internet Explorer\IEXPLORE.EXE" [url=http://bbs.kafan.cn/goto.php#http://www.4575.cn]www.4575.cn[/url]


进程路径:C:\WINDOWS\System32\KuBo_Js.exe
文件路径:C:\WINDOWS\close1.jpg
。。。。。。

windows文件夹：

close2.jpg
close1.jpg
bottom.jpg
top.jpg
right.jpg
left.jpg

还有setup.txt和zhong.txt挥刀自宫！

开了2个端口，远程连接ip：
124.237.121.92



注册表键值还是以前的老套路，就不贴了。。。

[ 本帖最后由 yyylll66 于 2009-9-26 19:09 编辑 ]

yyylll66

补充：这可是一个高质量的样本哦！

悠柚

联网
启动服务

rzqevergo

to Symantec

Palkia

RS20090926134922968178

huangdan811

过NOD32+微点

Palkia

查询编号：RS20090926134922968178
文件名称：KuBo_Js.exe
文件MD5：556910B98A717A8D61E709F0E4164CD0
文件状态：安全文件

linjw

Filename        Result
KuBo_Js.exe         UNDER ANALYSIS


The file 'KuBo_Js.exe' has been determined to be 'UNDER ANALYSIS'.

yyylll66

偶已测试，绝对是特流氓的恶意文件，劫持ie到www.4575.cn，创建伪ie快捷方式等！

进程路径:C:\WINDOWS\System32\KuBo_Js.exe
文件路径:C:\DOCUMENTS AND SETTINGS\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Exprlore 浏览器.lnk


进程路径:C:\WINDOWS\System32\KuBo_Js.exe
文件路径:C:\DOCUMENTS AND SETTINGS\ALL USERS\桌面\最新免费电影.url


进程路径:C:\WINDOWS\System32\KuBo_Js.exe
文件路径:C:\DOCUMENTS AND SETTINGS\All Users\「开始」菜单\Internet Exprlore.lnk

"C:\Program Files\Internet Explorer\IEXPLORE.EXE" www.4575.cn


进程路径:C:\WINDOWS\System32\KuBo_Js.exe
文件路径:C:\WINDOWS\close1.jpg
。。。。。。

windows文件夹：

close2.jpg
close1.jpg
bottom.jpg
top.jpg
right.jpg
left.jpg

还有setup.txt和zhong.txt挥刀自宫！

开了2个端口，远程连接ip：
124.237.121.92



注册表键值还是以前的老套路，就不贴了。。。

[ 本帖最后由 yyylll66 于 2009-9-26 18:51 编辑 ]

边缘vip

安全文件？

费尔也没报