货真价实BMW病毒样本（不是老的CIH）9月4日更新<增加实际修改mbr和BIOS的部分>

显示全部楼层 · 发表于 2011-9-3 13:43:14

xiaoluo 发表于 2011-9-3 13:42
真样本出来了？

绝对是真的，这个可以确认

显示全部楼层 · 发表于 2011-9-3 13:44:30

360和AVG 都杀了

显示全部楼层 · 发表于 2011-9-3 13:48:52

FS kill

显示全部楼层 · 发表于 2011-9-3 13:49:58

zuo 发表于 2011-9-3 13:43
绝对是真的，这个可以确认

太牛了，这样本也能搞到。

显示全部楼层 · 发表于 2011-9-3 13:56:11

本帖最后由 saga3721 于 2011-9-3 14:06 编辑

红伞启发

在文件“C:\Documents and Settings\\桌面\123”中检测到病毒或
恶意程序“HEUR/Malware [heuristic]”。

Antivirus Version Last Update Result
AhnLab-V3 2011.09.02.01 2011.09.02 Dropper/Rootkit.89600
AntiVir 7.11.14.90 2011.09.02 HEUR/Malware
Antiy-AVL 2.0.3.7 2011.09.03 Backdoor/Win32.Agent.gen
Avast 4.8.1351.0 2011.09.02 -
Avast5 5.0.677.0 2011.09.02 Win32:Qmgr-C [Trj]
AVG 10.0.0.1190 2011.09.03 Small.CSX
BitDefender 7.2 2011.09.03 Gen:Trojan.Heur.FU2.fKWbaSSJM0bb
ByteHero 1.0.0.1 2011.08.22 -
CAT-QuickHeal 11.00 2011.09.02 -
ClamAV 0.97.0.0 2011.09.02 Trojan.Agent-124036
Commtouch 5.3.2.6 2011.09.03 W32/Agent.JH.gen!Eldorado
Comodo 9973 2011.09.03 TrojWare.Win32.Trojan.Agent.Gen
DrWeb 5.0.2.03300 2011.09.03 BackDoor.Siggen.34341
Emsisoft 5.1.0.11 2011.09.03 Trojan-Dropper.Agent!IK
eSafe 7.0.17.0 2011.09.01 -
eTrust-Vet 36.1.8537 2011.09.02 -
F-Prot 4.6.2.117 2011.09.02 W32/Agent.JH.gen!Eldorado
F-Secure 9.0.16440.0 2011.09.03 Backdoor:W32/Agent.DQJS
Fortinet 4.3.370.0 2011.09.03 W32/Agent.BOTE!tr.bdr
GData 22 2011.09.03 Gen:Trojan.Heur.FU2.fKWbaSSJM0bb
Ikarus T3.1.1.107.0 2011.09.03 Trojan-Dropper.Agent
Jiangmin 13.0.900 2011.09.02 Backdoor/Agent.dfpb
K7AntiVirus 9.111.5083 2011.09.02 Riskware
Kaspersky 9.0.0.837 2011.09.03 Backdoor.Win32.Agent.bote
McAfee 5.400.0.1158 2011.09.03 Artemis!1AA4C64363B6
McAfee-GW-Edition 2010.1D 2011.09.02 Artemis!1AA4C64363B6
Microsoft 1.7604 2011.09.03 Exploit:Win32/ShellCode.gen!B
NOD32 6431 2011.09.03 -
Norman 6.07.11 2011.09.02 W32/Suspicious_Gen2.PORRF
nProtect 2011-09-02.01 2011.09.02 -
Panda 10.0.3.5 2011.09.02 Trj/CI.A
PCTools 8.0.0.5 2011.09.03 -
Prevx 3.0 2011.09.03 -
Rising 23.73.01.03 2011.08.30 Trojan.Win32.Generic.128D4656
Sophos 4.69.0 2011.09.03 -
SUPERAntiSpyware 4.40.0.1006 2011.09.03 -
Symantec 20111.2.0.82 2011.09.03 W32.Wapomi!gen1
TheHacker 6.7.0.1.290 2011.09.03 -
TrendMicro 9.500.0.1008 2011.09.03 -
TrendMicro-HouseCall 9.500.0.1008 2011.09.03 -
VBA32 3.12.16.4 2011.09.02 -
VIPRE 10354 2011.09.03 Trojan.Win32.Generic!BT
ViRobot 2011.9.3.4654 2011.09.03 -

显示全部楼层 · 发表于 2011-9-3 13:58:37

2011-9-3 13:55:56 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\bmw\123.exe
命令行: "C:\Documents and Settings\Administrator\桌面\bmw\123.exe"
规则: [应用程序]c:\windows\explorer.exe

2011-9-3 13:55:56 创建文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\Documents and Settings\Infotmp.txt
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:55:56 向其他进程发送消息阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: c:\windows\system32\internat.exe
消息: 0x0432
规则: [应用程序]*

2011-9-3 13:56:00 向其他进程发送消息阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: c:\windows\system32\internat.exe
消息: 0x0432
规则: [应用程序]*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\MsPMSNSv.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\browser.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\schedsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\MsPMSNSv.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\browser.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:00 修改文件阻止
进程: c:\documents and settings\administrator\桌面\bmw\123.exe
目标: C:\WINDOWS\system32\schedsvc.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-3 13:56:03 创建注册表项阻止
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4
规则: [应用程序]c:\windows\system32\services.exe -> [注册表组]驱动服务 -> [注册表]*\SYSTEM\*Controlset*\Services

显示全部楼层 · 发表于 2011-9-3 14:36:08

To ESET.

http://samples.nod32.com.hk/inde ... 622c9426ce96c4186f2

显示全部楼层 · 发表于 2011-9-3 14:44:14

是不是双bios就无压力？现在主板是这装备的

显示全部楼层 · 发表于 2011-9-3 15:10:16

dm34343667 发表于 2011-9-3 13:58
2011-9-3 13:55:56 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\documents and setti ...

从行为看来,象是一年前的一个病毒.

显示全部楼层 · 发表于 2011-9-3 16:20:17

楼主你清理掉了吗?

[病毒样本] 货真价实BMW病毒样本（不是老的CIH）9月4日更新<增加实际修改mbr和BIOS的部分>