小红伞、卡吧7.0全挂！！！！微点也够呛！【181个病毒已上传】

dgww

公司一台电脑中病毒了，花了1个多小时搞定。当然功夫没有白费，抓了近200个崽崽。

病毒一共:197
经过小红伞AntiVir，干掉:115
剩余:82
经过Kaspersky Anti-Virus，干掉:27
剩余:55

因为微点不能手动扫描，所以自己手工运行了几个。微点有的挡住了，有的根本就挡不住。

说明一点：小红伞和卡吧是直接扫描的，没有运行病毒文件，所以，详细如何，就要看大家的测试了！

最后，发几个样本，大家来测一下哈。

既然版主说全都发上来，那我就打包了哈，下载地址一周内有效：
一共181个文件，11.2MB因为是手工杀毒的时候把病毒文件删除了，所以，181个文件可能有相同的。。。。。
下载地址：http://www.badguy.name/badguy.rar

整理一下大家杀软的杀毒结果：

费尔


[ 本帖最后由 dgww 于 2007-6-29 14:24 编辑 ]

1688388728

扫描病毒日志记录
版本 17.0.6353
双引擎反病毒签名 6/28/2007
开始时间: 6/29/2007 10:43
引擎: A 引擎 (AVK 17.5714), B 引擎 (AVKB 17.277)
高启发式: 打开
压缩文件: 打开
系统区域: 打开
扫描系统区域...
扫描所选择的目录和文件...
对象: [NsPack]
在压缩档案里: E:\病毒库\新建文件夹\新建文件夹\6266D071.exe
Status: 已发现病毒
病毒: Win32:Agent-EXD [Trj] (B 引擎)
对象: 6266D071.exe
路径: E:\病毒库\新建文件夹\新建文件夹
Status: 已发现病毒
病毒: Win32:Agent-EXD [Trj] (B 引擎)
对象: [NsPack]
在压缩档案里: E:\病毒库\新建文件夹\新建文件夹\8A4CD76B.EXE
Status: 已发现病毒
病毒: Win32:Agent-HFX [Trj] (B 引擎)
对象: 8A4CD76B.EXE
路径: E:\病毒库\新建文件夹\新建文件夹
Status: 已发现病毒
病毒: Win32:Agent-HFX [Trj] (B 引擎)
对象: bb91.exe
路径: E:\病毒库\新建文件夹\新建文件夹
Status: 已发现病毒
病毒: Win32:Adloader-JQ [Trj] (B 引擎)
对象: [Upack]
在压缩档案里: E:\病毒库\新建文件夹\新建文件夹\d.exe
Status: 已发现病毒
病毒: Win32:Agent-GRW [Trj] (B 引擎)
对象: d.exe
路径: E:\病毒库\新建文件夹\新建文件夹
Status: 已发现病毒
病毒: Win32:Agent-GRW [Trj] (B 引擎)
对象: [NsPack]
在压缩档案里: E:\病毒库\新建文件夹\新建文件夹\Dc1412.exe
Status: 已发现病毒
病毒: Win32:Agent-HFX [Trj] (B 引擎)
对象: Dc1412.exe
路径: E:\病毒库\新建文件夹\新建文件夹
Status: 已发现病毒
病毒: Win32:Agent-HFX [Trj] (B 引擎)
对象: Dc17.exe
路径: E:\病毒库\新建文件夹\新建文件夹
Status: 已发现病毒
病毒: Win32:Adloader-JQ [Trj] (B 引擎)
对象: [Upack]
在压缩档案里: E:\病毒库\新建文件夹\新建文件夹\ee.exe
Status: 已发现病毒
病毒: Win32:Agent-GRW [Trj] (B 引擎)
对象: ee.exe
路径: E:\病毒库\新建文件夹\新建文件夹
Status: 已发现病毒
病毒: Win32:Agent-GRW [Trj] (B 引擎)
对象: [Upack]
在压缩档案里: E:\病毒库\bad\ee.exe
Status: 已发现病毒
病毒: Win32:Agent-GRW [Trj] (B 引擎)
对象: ee.exe
路径: E:\病毒库\bad
Status: 已发现病毒
病毒: Win32:Agent-GRW [Trj] (B 引擎)
对象: ff.exe
路径: E:\病毒库\bad
Status: 已发现病毒
病毒: Win32:Adware-gen. [Adw] (B 引擎)
扫描完成: 6/29/2007 10:44
    已检查 27 个文件
    已发现 9 个染毒文件
    发现 0 个可疑文件

[ 本帖最后由 1688388728 于 2007-6-29 10:45 编辑 ]

a256886572008

運行Dc1867.exe，發現下列行為，被EQ-Secure RC3攔截！

2007-06-29 10:26:06    運行應用程序      操作:允許
進程路徑:C:\windows\Explorer.EXE
文件路徑:D:\桌面\virus\bad\ee.exe
規則:應用程序規則->系統程序->%windir%\Explorer.EXE


2007-06-29 10:26:07    創建文件      操作:阻止
進程路徑:D:\桌面\virus\bad\ee.exe
文件路徑:C:\windows\system32\-23-71-6161
規則:所有程序規則->2.1.3组：保護部分重要的文件和文件夾->%SystemDrive%\*


2007-06-29 10:26:07    創建文件      操作:阻止
進程路徑:D:\桌面\virus\bad\ee.exe
文件路徑:C:\windows\2AE.tmp
規則:所有程序規則->2.1.3组：保護部分重要的文件和文件夾->%SystemDrive%\*

1.他會在C:\windows\system32\生成
   -23-71-6161
2.他會在C:\windows\生成
   2AE.tmp

wangjay1980

怎么不都发上来

taihuxian

[DETECTION] File has been compressed with an unusual runtime compression tool (PCK/UPACK). Please verify the origin of the file

wangjay1980

detected: Trojan program Trojan.Win32.Agent.abe        File: C:\Documents and Settings\Owner\×ÀÃæ\н¨Îļþ¼Ð\239.exe//#/live.sys
detected: virus Heur.Backdoor.Generic        File: C:\Documents and Settings\Owner\×ÀÃæ\н¨Îļþ¼Ð\6266D071.exe
detected: virus Heur.Trojan.Generic (modification)        File: C:\Documents and Settings\Owner\×ÀÃæ\н¨Îļþ¼Ð\8A4CD76B.EXE
detected: virus Heur.Trojan.Generic (modification)        File: C:\Documents and Settings\Owner\×ÀÃæ\н¨Îļþ¼Ð\Dc1412.exe

wangjay1980

197都发上来吧

The EQs

Scan performed at: 2007-6-29 10:46:30
Scanning Log
NOD32 version 2362 (20070628) NT
Command line: C:\Documents and Settings\EQ2\桌面\新建文件夹
Operating memory - is OK

Date: 29.6.2007  Time: 10:46:35
Anti-Stealth technology is enabled.
Scanned disks, folders and files: C:\Documents and Settings\EQ2\桌面\新建文件夹\
C:\Documents and Settings\EQ2\桌面\新建文件夹\新建文件夹\239.exe - a variant of Win32/Agent.ABE trojan
C:\Documents and Settings\EQ2\桌面\新建文件夹\新建文件夹\6266D071.exe - a variant of Win32/Adware.Toolbar.Baidu application
C:\Documents and Settings\EQ2\桌面\新建文件夹\新建文件夹\8A4CD76B.EXE - probably a variant of Win32/Agent.NEO trojan
C:\Documents and Settings\EQ2\桌面\新建文件夹\新建文件夹\d060.exe ?NSIS ?cpush.dll - probably a variant of Win32/Adware.BHO.AV application - was a part of the deleted object
C:\Documents and Settings\EQ2\桌面\新建文件夹\新建文件夹\Dc1412.exe - probably a variant of Win32/Genetik trojan
Number of scanned files: 24
Number of threats found: 5
Number of files cleaned: 5
Time of completion: 10:46:40 Total scanning time: 5 sec (00:00:05)

傻猪猪米走鸡

扫描开始时间: 2007-6-29 10:47:41
扫描日志
NOD32 版本 2362 (20070628) NT
命令行: D:\firefox下载的文件\新建文件夹
C:\Program Files\Eset\nod32.exe<病毒 - 正常>

日期: 2007年6月29日  时间: 10:47:45
反 Rookits 技术已启用。
已扫描磁盘、文件夹和文件: D:\firefox下载的文件\新建文件夹\
D:\firefox下载的文件\新建文件夹\新建文件夹\239.exe<病毒 - Win32/Agent.ABE 木马 变种>
D:\firefox下载的文件\新建文件夹\新建文件夹\6266D071.exe<病毒 - Win32/Adware.Toolbar.Baidu 应用程序 变种>
D:\firefox下载的文件\新建文件夹\新建文件夹\62B60923.EXE<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\772B8EB1.EXE<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\8A4CD76B.EXE<病毒 - 可能是 Win32/Agent.NEO 木马 变种>
D:\firefox下载的文件\新建文件夹\新建文件夹\bb91.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\d.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\d060.exe ?NSIS ?cpush.dll<病毒 - 可能是 Win32/Adware.BHO.AV 应用程序 变种>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc1278.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc1412.exe<病毒 - 可能是 Win32/Genetik 木马 变种>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc1417.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc1654.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc17.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc1867.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc2138.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc347.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc464.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\Dc795.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\devcon.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\ee.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\k11296264342.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\k11296264386.exe<病毒 - 正常>
D:\firefox下载的文件\新建文件夹\新建文件夹\svchost.exe<病毒 - 正常>
已扫描文件数量: 23
已发现病毒数量: 5
完成时间: 10:47:58 总共扫描时间: 13 秒 (00:00:13)

tracydk

Starting the file scan:

Begin scan in 'F:\病毒样本\bad.rar'
F:\病毒样本\bad.rar
  [0] Archive type: RAR
  --> ee.exe
      [DETECTION] File has been compressed with an unusual runtime compression tool (PCK/UPACK). Please verify the origin of the file
      [INFO]      The file was deleted!
Begin scan in 'F:\病毒样本\新建文件夹.part1.rar'
F:\病毒样本\新建文件夹.part1.rar
  [0] Archive type: RAR
  --> &ETH;&Acirc;&frac12;¨&Icirc;&Auml;&frac14;&thorn;&frac14;&ETH;\d.exe
      [DETECTION] File has been compressed with an unusual runtime compression tool (PCK/UPACK). Please verify the origin of the file
      [INFO]      The file was deleted!
Begin scan in 'F:\病毒样本\新建文件夹.part2.rar'
F:\病毒样本\新建文件夹.part2.rar
  [0] Archive type: RAR
  --> &ETH;&Acirc;&frac12;¨&Icirc;&Auml;&frac14;&thorn;&frac14;&ETH;\ee.exe
      [DETECTION] File has been compressed with an unusual runtime compression tool (PCK/UPACK). Please verify the origin of the file
      [INFO]      The file was deleted!