最新过卡巴斯基安全部队2012病毒样本

gary_pc

附件为2011-9-24 目前完全可以过卡巴斯基安全部队2012的一个最新的病毒样本，如果有喜欢研究的朋友，我拿出来跟大家分享，谢谢！

619875192

文件信息
文件名称：C:\Documents and Settings\Administrator\桌面\穿越\svchoss.exe
文件大小：
949 Kb
内部名称：
XX
文件签名：
无文件签名信息
文件描述：
经鉴定是一个木马
文件MD5：
1f5d697834d5fe25ab1b237c24ecc779

Palkia

hx1997

To ESET.

gary_pc

卡巴完全通过，大家可以试试！

留侯

大蜘蛛clean，已上报！

a256886572008

2011-09-24 13:42:19   C:\Documents and Settings\Roger\桌面\virus\pass\svchoss.exe   Sandboxed As   Partially Limited   

2011-09-24 13:42:25   C:\Documents and Settings\Roger\桌面\virus\pass\svchoss.exe   Modify File   C:\WINDOWS\system32\WinSys32\SysDat.exe   

2011-09-24 13:42:25   C:\Documents and Settings\Roger\桌面\virus\pass\svchoss.exe   Modify Key   HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95}\StubPath   

雲查殺

694906921

完整路径: c:\users\luyu\downloads\穿越\svchoss.exe
____________________________
____________________________
在电脑上的创建时间 不可用
上次使用时间 2011/9/24 ( 13:50:35 )
启动项目 否
已启动 否
____________________________
____________________________
未知
诺顿社区中使用此文件的用户数量: 未知
____________________________
未知
此文件版本当前未知。
____________________________
中
此文件具有中等程度风险。
____________________________
威胁详细信息
威胁类型: 智能网络威胁。 很多迹象表明此文件不可信任，不安全
____________________________
http://bbs.kafan.cn/forum.php?mo ... DQ3OTEzOHwxMDkyNzg0 已下载文件svchoss.exe
威胁名称:
WS.Reputation.1自
bbs.kafan.cn
____________________________
文件操作
文件: c:\users\luyu\downloads\穿越\svchoss.exe
已删除
____________________________
文件指纹 - SHA:
ec2915ac3f67ee8a246813abd1e81c19e7351e9bc5b2cbe6313269595b02bb33
____________________________
文件指纹 - MD5:
1f5d697834d5fe25ab1b237c24ecc779
____________________________

xiongchuanxc

sonar干掉

有凤来仪

2011/9/24 14:29:04        d:\病毒\穿越\svchoss.exe        创建注册表项        HKEY_LOCAL_MACHINE\SOFTWARE\XXX_0A1E2FF7        阻止并结束进程        [应用程序]*\病毒\* -> [注册表]*       
2011/9/24 14:29:38        d:\新建文件夹\svchoss.exe        创建注册表项        HKEY_LOCAL_MACHINE\SOFTWARE\XXX_0A1E2FF7        允许        [注册表]*       
2011/9/24 14:29:39        d:\新建文件夹\svchoss.exe        修改注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\XXX_0A1E2FF7\1        允许        [注册表]*        值: 2011-09-24 14:29:29
2011/9/24 14:29:58        d:\新建文件夹\svchoss.exe        修改注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft        允许        [注册表]*        值: 129613193690087890
2011/9/24 14:30:03        d:\新建文件夹\svchoss.exe        修改注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\^^(^^        允许        [注册表]*        值:
2011/9/24 14:30:21        d:\新建文件夹\svchoss.exe        创建文件        C:\Windows\System32\WinSys32\SysDat.exe        允许        [文件组]f260_系统执行文件 -> [文件]c:\windows\*; *.exe       
2011/9/24 14:30:26        d:\新建文件夹\svchoss.exe        修改文件        C:\Windows\System32\WinSys32\SysDat.exe        允许        [文件组]f260_系统执行文件 -> [文件]c:\windows\*; *.exe       
2011/9/24 14:30:40        d:\新建文件夹\svchoss.exe        删除注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95}\IsInstalled        阻止        [注册表组]r015_注意 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components*       
2011/9/24 14:30:45        d:\新建文件夹\svchoss.exe        修改注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95}\StubPath        阻止        [注册表组]r015_注意 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components*        值: "C:\Windows\System32\WinSys32\SysDat.exe" ~
2011/9/24 14:30:55        d:\新建文件夹\svchoss.exe        创建新进程        c:\windows\system32\winsys32\sysdat.exe        允许        [应用程序]* -> [子应用程序]*.exe        命令行: C:\Windows\System32\WinSys32\SysDat.exe
2011/9/24 14:31:14        c:\windows\system32\winsys32\sysdat.exe        创建新进程        c:\windows\system32\alg.exe        允许        [应用程序]??\?* -> [子应用程序]a085 -> [应用程序]*\alg.exe        命令行: "C:\Windows\System32\alg.exe" ~
2011/9/24 14:31:54        c:\windows\system32\winsys32\sysdat.exe        修改其他进程的内存        c:\windows\system32\alg.exe        阻止        [应用程序]c:\windows\* -> [目标应用程序]c:\windows\*       
2011/9/24 14:31:59        c:\windows\system32\winsys32\sysdat.exe        修改其他进程的内存        c:\windows\system32\alg.exe        阻止        [应用程序]c:\windows\* -> [目标应用程序]c:\windows\*       
2011/9/24 14:32:02        c:\windows\system32\winsys32\sysdat.exe        修改其他进程的内存        c:\windows\system32\alg.exe        阻止        [应用程序]c:\windows\* -> [目标应用程序]c:\windows\*       
2011/9/24 14:32:05        c:\windows\system32\winsys32\sysdat.exe        修改其他进程的内存        c:\windows\system32\alg.exe        阻止        [应用程序]c:\windows\* -> [目标应用程序]c:\windows\*       
2011/9/24 14:32:07        c:\windows\system32\winsys32\sysdat.exe        修改其他进程的线程        c:\windows\system32\alg.exe        阻止        [应用程序]c:\windows\* -> [目标应用程序]c:\windows\*