盛大样本[MD5: BC4B43 9E5CFD F4A68C 01E4BE D60FA9 F1EC5B 36D88A]

allenhippo

http://bbs.kafan.cn/viewthread.php?tid=100222&extra=page%3D1

那个下载者的东西，7个，估计各种盗号的，被卡巴杀的差不多了。

那人能黑盛大怎么挂的马这么次

hahacomcn

Start of the scan: 2007年6月24日  11:13

Starting the file scan:

Begin scan in 'C:\Documents and Settings\Administrator\桌面\virus.rar'
C:\Documents and Settings\Administrator\桌面\virus.rar
  [0] Archive type: RAR
  --> ddx[1].exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen
  --> jh[1].exe
      [DETECTION] Is the Trojan horse TR/Dropper.Gen
  --> my[1].exe
      [DETECTION] Contains suspicious code HEUR/Malware
  --> wow[1].exe
      [DETECTION] Is the Trojan horse TR/Spy.Gen
  --> zt[1].exe
      [DETECTION] Is the Trojan horse TR/Dropper.Gen
      [INFO]      The file was deleted!

wangjay1980

detected: Trojan program Trojan-PSW.Win32.QQRob.fu        File: C:\Documents and Settings\Owner\×ÀÃæ\virus.rar/ddx[1].exe//PE_Patch//UPack//Expressor
detected: Trojan program Trojan-PSW.Win32.OnLineGames.yn        File: C:\Documents and Settings\Owner\×ÀÃæ\virus.rar/jh[1].exe
detected: virus Heur.Trojan.Generic (modification)        File: C:\Documents and Settings\Owner\×ÀÃæ\virus.rar/my[1].exe//FSG
detected: Trojan program Trojan-PSW.Win32.OnLineGames.yq        File: C:\Documents and Settings\Owner\×ÀÃæ\virus.rar/wow[1].exe
detected: Trojan program Trojan-PSW.Win32.OnLineGames.es        File: C:\Documents and Settings\Owner\×ÀÃæ\virus.rar/zt[1].exe

Whkroran

detected: Trojan program Trojan-PSW.Win32.QQRob.fu        URL: http://bbs.kafan.cn/attachment.php?aid=92213//ddx[1].exe//PE_Patch//UPack//Expressor

扫描开始时间: 2007-6-24 11:17:34
扫描日志
NOD32 版本 2349 (20070623) NT
命令行: F:\virus\virus.rar

日期: 2007年6月24日  时间: 11:17:35
反 Rookits 技术已启用。
已扫描磁盘、文件夹和文件: F:\virus\virus.rar
F:\virus\virus.rar ?RAR ?ddx[1].exe<病毒 - Win32/PSW.QQRob.NAQ 木马 变种>
F:\virus\virus.rar ?RAR ?jh[1].exe<病毒 - Win32/PSW.OnLineGames.YA 木马 变种>
F:\virus\virus.rar ?RAR ?mh[1].exe<病毒 - Win32/Agent.NIK 木马 变种>
F:\virus\virus.rar ?RAR ?wow[1].exe<病毒 - Win32/PSW.OnLineGames.YA 木马 变种>
F:\virus\virus.rar ?RAR ?zt[1].exe<病毒 - Win32/PSW.OnLineGames.YA 木马 变种>
已扫描文件数量: 7
已发现病毒数量: 5
完成时间: 11:17:37 总共扫描时间: 2 秒 (00:00:02)

a256886572008

運行ddx[1].exe，發現下列行為，被EQ-Secure RC2攔截！

2007-06-24 11:16:04    运行应用程序      操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\BC4B43virus\ddx[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-24 11:16:19    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\ddx[1].exe
文件路径:C:\windows\system32\RpcS.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:16:19    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\ddx[1].exe
文件路径:C:\windows\system32\RpcS.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:16:20    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\ddx[1].exe
文件路径:C:\windows\system32\RpcS.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:16:20    修改注册表内容      操作:阻止
进程路径:C:\windows\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RpcS
注册表名称:[Key]
规则:所有程序规则->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-06-24 11:16:20    修改注册表内容      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\ddx[1].exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS
注册表名称:[Key]
规则:所有程序规则->2.1.2组：保护系统服务和驱动，禁止更改用户权限->*\SYSTEM\CurrentControlSet*\Services


2007-06-24 11:16:20    修改注册表内容      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\ddx[1].exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RpcS
注册表名称:[Key]
规则:所有程序规则->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*

1.他會在C:\windows\system32\生成
   RpcS.exe
2.他會修改注册表内容
   HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RpcS
   [Key]
3.他會修改注册表内容
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS
   [Key]

a256886572008

運行jh[1].exe，發現下列行為，被EQ-Secure RC2攔截！

2007-06-24 11:19:40    运行应用程序      操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\BC4B43virus\jh[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-24 11:19:42    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\jh[1].exe
文件路径:C:\windows\cmdbcs.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:19:42    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\jh[1].exe
文件路径:C:\windows\cmdbcs.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:19:42    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\jh[1].exe
文件路径:C:\windows\cmdbcs.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:19:42    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\jh[1].exe
文件路径:C:\windows\hejaow.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:19:43    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\jh[1].exe
文件路径:C:\windows\hejaow.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:19:43    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\jh[1].exe
文件路径:C:\windows\hejaow.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:19:43    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\jh[1].exe
文件路径:C:\windows\system32\cmdbcs.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll


2007-06-24 11:19:43    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\jh[1].exe
文件路径:C:\windows\system32\hejaow.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll

1.他會在C:\windows\生成
   cmdbcs.exe
   hejaow.exe
2.他會在C:\windows\system32\生成
   cmdbcs.dll
   hejaow.dll

a256886572008

運行mh[1].exe，發現下列行為，被EQ-Secure RC2攔截！

2007-06-24 11:22:13    运行应用程序      操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\BC4B43virus\mh[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-24 11:22:13    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\mh[1].exe
文件路径:D:\桌面\virus\BC4B43virus\mh[1].dat
规则:所有程序规则->全局設置_普通模式->*.*


2007-06-24 11:22:13    运行应用程序      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\mh[1].exe
文件路径:C:\windows\system32\cmd.exe
命令行:/c del "D:\桌面\virus\BC4B43virus\mh[1].exe
规则:黑名单->防卸规则->*\cmd.exe

1.他會在他旁邊生成mh[1].dat
2.他會利用cmd.exe殺死自己
   /c del "D:\桌面\virus\BC4B43virus\mh[1].exe

a256886572008

運行my[1].exe，發現下列行為，被EQ-Secure RC2攔截！

2007-06-24 11:24:27    运行应用程序      操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\BC4B43virus\my[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-24 11:24:27    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\my[1].exe
文件路径:C:\windows\IMEINPUTS.EXE
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:24:27    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\my[1].exe
文件路径:C:\windows\IMEINPUTS.EXE
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:24:27    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\my[1].exe
文件路径:C:\windows\IMEINPUTS.EXE
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:24:27    删除注册表      操作:阻止
进程路径:C:\windows\system32\ctfmon.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:internat.exe
规则:所有程序规则->系统自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

1.他會在C:\windows\生成
   IMEINPUTS.EXE
2.他會利用ctfmon.exe删除注册表
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   internat.exe

a256886572008

運行wow[1].exe，發現下列行為，被EQ-Secure RC2攔截！

2007-06-24 11:27:12    运行应用程序      操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\BC4B43virus\wow[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-24 11:27:14    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\wow[1].exe
文件路径:C:\windows\mppds.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:27:14    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\wow[1].exe
文件路径:C:\windows\mppds.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:27:14    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\wow[1].exe
文件路径:C:\windows\mppds.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:27:14    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\wow[1].exe
文件路径:C:\windows\cxqxzg.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:27:14    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\wow[1].exe
文件路径:C:\windows\cxqxzg.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:27:14    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\wow[1].exe
文件路径:C:\windows\cxqxzg.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-24 11:27:14    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\wow[1].exe
文件路径:C:\windows\system32\mppds.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll


2007-06-24 11:27:14    创建文件      操作:阻止
进程路径:D:\桌面\virus\BC4B43virus\wow[1].exe
文件路径:C:\windows\system32\ctmkwb.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll

1.他會在C:\windows\生成
   mppds.exe
   cxqxzg.exe
2.他會在C:\windows\system32\生成
   mppds.dll
   ctmkwb.dll