经过NTFS流隐藏的木马[ad8870]

SONGBOWEN

经过NTFS流隐藏的木马，许多杀软扫描后均不报毒，但是放在影子系统或者虚拟机中运行时会被大多数杀毒软件的监控拦截。
MD5信息：
muma.exe         ad887047f75bc86acf3728296c71168e

[ 本帖最后由 SONGBOWEN 于 2007-7-9 17:17 编辑 ]

tracydk

antivir不报

promised

谀哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪姆
?            VirusBlokAda (Console scanner)             ?
?Vba32 Windows/CL 3.12.0.2 / 2007.07.08 19:42 (Vba32.W) ?
?         Copyright (c) 1993-2007 by VBA Ltd.           ?
酝屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯图
License expired
License #000000119 Valid till 2006-12-31
Demo mode
Computer: PROMISED-CE046A
System: Windows XP
Command line options:
/r=susp.rpt /ha=3 /collect_suspects /nc /sfx /af+ /fd+ /ar+ /bt- /mr- /ml+ /rw+ /as-
Program settings:
/r=susp.rpt /ha=3 /collect_suspects /nc /sfx /af+ /fd+ /ar+ /qu+ /ml+ /rw+

*:
C:\
C:\ABC\muma\muma\clear.vbs:s.exe:<RAR>\s.exe : infected Backdoor.Win32.Delf.axh
C:\ABC\muma\muma\clear.vbs:vvqq.exe : infected Backdoor.Win32.Bifrose.adr
Program execution terminated by user


Directories       : 6       Files in archives:      Files on disks:
Archives:                   - total       : 15      - total       : 28   
- scanned         : 6       -  scanned    : 15      - scanned     : 28   
- contain viruses : 1       -  infected   : 1       - infected    : 2     
- deleted         : 0       -  suspicious : 0       - suspicious  : 0     

Startup    : 17:23:00 09-07-2007
End        : 17:23:07 09-07-2007
Total time : 00:00:07

SONGBOWEN

呵呵～～够强吧！
你在影子系统或者虚拟机里运行一下，试一试报不报？

SONGBOWEN

VBA32好强！

promised

不是VBA32强
是很多都解不了包
这个NOD32也能解
Scan performed at: 2007-7-9 17:23:42
Scanning Log
NOD32 version 2384 (20070708) NT
Command line: C:\ABC\muma\muma
Operating memory - is OK

Date: 9.7.2007  Time: 17:23:54
Anti-Stealth technology is enabled.
Scanned disks, folders and files: C:\ABC\muma\muma\
C:\ABC\muma\muma\clear.vbs:s.exe ?RAR ?s.exe ?UPX v12_m5 - Win32/BlackHole.NAA trojan
C:\ABC\muma\muma\clear.vbs:vvqq.exe - probably a variant of Win32/PSW.Lineage.NEW trojan
Number of scanned files: 4
Number of threats found: 2
Number of active threats: 2
Time of completion: 17:23:57 Total scanning time: 3 sec (00:00:03)

SONGBOWEN

我在http://virusscan.jotti.org/的扫描结果如下：

flowerpig

F-SECURE 防病毒	5.51.6100	2007.07.04.14	2007-07-04	Backdoor.Win32.Delf.axh	2.481
卡巴斯基防病毒	5.5.10	2007.07.09	2007-07-09	Backdoor.Win32.Delf.axh	0.258
迈克菲防病毒	5.1.00	5069	2007-07-06	Generic BackDoor	0.928
BitDefender 防病毒	7.60825.698548	7.13787	2007-07-09	Generic.Graybird.F4729A11	2.886

SONGBOWEN

汗！连国内号称有流文件查杀功能的瑞星也失手了……

promised

JOTTI是LINUX的
引擎可能有偏差