精选样本一个

saga3721

就是加个自启动的出站小蠕虫，防火墙也拦死它了

智琛

创建注册表键值
Values CreatedName        Type        Size        Value
LM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\Documents and Settings\User\Application Data\E-73473-3674-74335\winlivem.exe        REG_SZ        224        "C:\Documents and Settings\User\Application Data\E-73473-3674-74335\winlivem.exe:*:Enabled:Messenger Live Update"

注册表键值的更改
Values ChangedName        Type        Size        Value
LM\System\CurrentControlSet\Services\SharedAccess\Epoch\Epoch        REG_DWORD/REG_DWORD        4/4        0xd8/0xd9

创建文件
Files CreatedName        Size        Last Write Time        Creation Time        Last Access Time        Attr
C:\Documents and Settings\User\Application Data\E-73473-3674-74335\winlivem.exe        192590        2009.01.09 10:54:20.796        2009.01.09 10:54:28.796        2009.01.09 10:54:28.796        0x7

创建进程
Processes CreatedPId        Process Name        Image Name
0xdc        sample.exe        C:\TEST\sample.exe

线程创建
Threads CreatedPId        Process Name        TId        Start        Start Mem        Win32 Start        Win32 Start Mem
0xdc        sample.exe        0xec        0x7c810867        MEM_IMAGE        0x4047d6        MEM_PRIVATE
0x348        svchost.exe        0x784        0x7c810856        MEM_IMAGE        0x7c910760        MEM_IMAGE

API的调用
Windows Api CallsPId        Image Name        Address        Function ( Parameters ) | Return Value
0xdc        C:\TEST\sample.exe        0x401f33        CopyFileA(lpExistingFileName: "C:\TEST\sample.exe", lpNewFileName: "C:\Documents and Settings\User\Application Data\E-73473-3674-74335\winlivem.exe", bFailIfExists: 0x0)|0x1

DNS劫持
DNS QueriesDNS Query Text
yesim.hoodrich.ru IN A +

结果
VerdictAuto Analysis Verdict
Suspicious+

智琛

总结
复制自身进程到其他进程
关闭系统防火墙
插入其他进程

Mutexes Created or OpenedPId        Image Name        Address        Mutex Name
0x1c8        C:\Documents and Settings\User\Application Data\E-73473-3674-74335\winlivem.exe        0x401e02        segh3hsb2bs
0xdc        C:\TEST\sample.exe        0x401e02        segh3hsb2bs

只是个恶意软件

blue_仰望

to avast

有凤来仪

hips测试结果,写启动项添加到防炎墙排除列表,连网.目的ip,美国.


金山鉴定安全.

bbs2811125

The EQs 发表于 2011-8-30 12:54
微软的通用检测一向很牛X。。。。。。。。

额，刚开始出来的时候可没这个效果
收购rav这个我是知道的，现在终于开始表现了

The EQs

file.exe - Win32/Boberog.AZ worm

jayavira

idp kill

留侯

大蜘蛛clean，壓縮文件：
file.exe - archive BINARYRES
file.exe/data001 - archive HTML
已上報

dreams521