大清早来两个[MD5: 2156E3 65E43D]

zane_xzz

大清早来两个，一个是围巾

红心王子

C:\Documents and Settings\Administrator\桌面\样本
.rar>>1.exe       Worm.Win32.Viking.viv

wangjay1980

detected: virus Trojan.Generic (modification)        File: C:\Documents and Settings\Owner\×ÀÃæ\Ñù±¾.rar/go.exe
detected: virus Worm.Win32.Viking.lu        File: C:\Documents and Settings\Owner\×ÀÃæ\Ñù±¾.rar/1.exe

go.exe_ - Trojan-Downloader.Win32.Delf.bko,

New malicious software was found in these files. Detection will be included in the next update. Thank you for your help.

Please quote all when answering.

--
Best regards, Erakhtin Kirill
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/

[ 本帖最后由 wangjay1980 于 2007-7-5 11:04 编辑 ]

tracydk

Starting the file scan:

Begin scan in 'F:\病毒样本\样本.rar'
F:\病毒样本\样本.rar
  [0] Archive type: RAR
  --> go.exe
      [DETECTION] Contains suspicious code HEUR/Malware
  --> 1.exe
      [DETECTION] Is the Trojan horse TR/PSW.Delf.AF.2
      [INFO]      The file was deleted!

foxhound

红伞~

Virus or unwanted program 'TR/PSW.Delf.AF.2 [TR/PSW.Delf.AF.2]'
detected in file 'C:\Documents and Settings\SolidSnake\Local Settings\Temp\Rar$DR00.719\1.exe.
Action performed: Deny access

Virus or unwanted program 'HEUR/Malware [HEUR/Malware]'
detected in file 'C:\Documents and Settings\SolidSnake\Local Settings\Temp\Rar$DR00.719\go.exe.
Action performed: Deny access

欠妳緈諨

傻猪猪米走鸡

扫描开始时间: 2007-7-5 8:53:02
日期: 2007年7月5日  时间: 08:53:08
反 Rookits 技术已启用。
已扫描磁盘、文件夹和文件: D:\firefox下载的文件\??.rar
D:\firefox下载的文件\??.rar ?RAR ?go.exe<病毒 - Win32/TrojanDownloader.Delf.BHO 木马 变种>
D:\firefox下载的文件\??.rar ?RAR ?1.exe<病毒 - Win32/Viking.LU 病毒> - 是删除目标的一部分
已扫描文件数量: 3
已发现病毒数量: 2
已清除病毒的文件数量: 1
完成时间: 08:53:08 总共扫描时间: 0 秒 (00:00:00)

promised

C:\ABC\样本.rar:\go.exe - Signature 'Trojan-PWS.Win32.QQPass.pb' found
C:\ABC\样本.rar:\1.exe - Signature 'MalwareScope.Worm.Viking.5' found
C:\ABC\样本.rar

        3 Files scanned
          (1 Archiv with 2 files)
        2 Signatures found
        0 Suspect code-parts found
        Used time: 0:00.062

zane_xzz

原帖由 欠你幸福 于 2007-7-5 08:45 发表

avast还真强，竟然报已知

a256886572008

運行1.exe，發現下列行為，被EQ-Secure RC3攔截！

2007-07-05 09:32:55    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\drivers\etc
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:55    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\drivers
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:55    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:55    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\drivers
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:55    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\drivers\etc
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:55    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\drivers\etc\hosts
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:55    修改文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\drivers\etc\hosts
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:55    運行應用程序      操作:阻止
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\windows\system32\net.exe
命令行:stop "Kingsoft AntiVirus Service"
規則:黑名單->防卸规则->*\net*.exe


2007-07-05 09:32:56    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\uninstall
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:56    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\uninstall\rundl132.exe
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:56    運行應用程序      操作:阻止
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\windows\system32\net.exe
命令行:stop "Kingsoft AntiVirus Service"
規則:黑名單->防卸规则->*\net*.exe


2007-07-05 09:32:57    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\RichDll.dll
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:32:58    修改文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\windows\system32\drivers\etc\hosts
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*


2007-07-05 09:33:27    創建文件      操作:允許
進程路徑:D:\桌面\virus\2156E3\1.exe
文件路徑:C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\drive\C\_desktop.ini
規則:所有程序規則->保護安全軟體->C:\Documents and Settings\Hung  Jui Hung\Application Data\Sandbox\DefaultBox\*

.............再下來，就是感染D槽

1.他會修改C:\windows\system32\drivers\etc\hosts
2.他會運行net.exe
   stop "Kingsoft AntiVirus Service"
3.他會在C:\windows\uninstall\生成
   rundl132.exe
4.他會在C:\windows\生成
   RichDll.dll
5.他會在C:\生成
   _desktop.ini
6.他會感染D槽，把每個檔案變成*.exe