微软一家报。。。【1c803a】

起点

文件 1.wma.exe 接收于 2007.08.05 06:39:41 (CET)





反病毒引擎版本最后更新扫描结果AhnLab-V32007.8.3.02007.08.03-AntiVir7.4.0.572007.08.03-Authentium4.93.82007.08.03-Avast4.7.1029.02007.08.05-AVG7.5.0.4762007.08.04-BitDefender7.22007.08.05-CAT-QuickHeal9.002007.08.04-ClamAV0.912007.08.04-DrWeb4.332007.08.04-eSafe7.0.15.02007.07.31-eTrust-Vet31.1.50322007.08.04-Ewido4.02007.08.03-FileAdvisor12007.08.05-Fortinet2.91.0.02007.08.05-F-Prot4.3.2.482007.08.03-F-Secure6.70.13030.02007.08.03-IkarusT3.1.1.82007.08.04-Kaspersky4.0.2.242007.08.05-McAfee50902007.08.03-Microsoft1.27042007.08.05Trojan:Win32/Delf.BBNOD32v224382007.08.05-Norman5.80.022007.08.03-Panda9.0.0.42007.08.04-Rising19.34.40.002007.08.03-Sophos4.19.02007.08.01-Sunbelt2.2.907.02007.08.04-Symantec102007.08.05-TheHacker6.1.7.1622007.08.04-VBA323.12.2.22007.08.04-VirusBuster4.3.26:92007.08.04-Webwasher-Gateway6.0.12007.08.03-


附加信息
File size: 3633754 bytesMD5: 1c803aae4631570eb1cea246dd1e1ce4SHA1: 87695af39e2f2e91ff2b17cc58a63d0596a43cf6

[ 本帖最后由 navigateqd 于 2007-8-5 12:54 编辑 ]

xxwpk007

程序:
G:\样本\1.WMA.EXE
木马程序生成以下文件:
1) C:\WINDOWS\TEMP\S.EXE
2) C:\WINDOWS\SYSTEM32\LOVE_SJ.DLL
3) C:\WINDOWS\SYSTEM32\WINSYM.DLL
是否删除木马程序及其衍生物?

起点

我感觉应该是病毒，bt精灵下mtv时候报病毒
因为他伪装成 wmv 格式 其实是exe文件

看来微软还不是无可救药

promised

只能说微软解包能力强劲+运气好

Norman

5.90.37

5.90

2007-08-03

Sandbox: W32/Malware

8.540

[ 本帖最后由 promised 于 2007-8-5 13:14 编辑 ]

allenhippo

生成的东东发上来：

promised

原来的要提取
生成的S还提取。。。。。。。。。。

C:\ABC\temp.zip:\love_sj.DLL - 可疑代码段 被发现 (Level: 30)
C:\ABC\temp.zip:\new.vbs
C:\ABC\temp.zip:\S.exe
C:\ABC\temp.zip:\sj.bat
C:\ABC\temp.zip:\Winsym.dll - 可疑代码段 被发现 (Level: 30)
C:\ABC\temp.zip
这东西解包能力差

[ 本帖最后由 promised 于 2007-8-5 13:26 编辑 ]

woai_jolin

norman sandbox报

The EQs

wowahahaa

运行最后会把winsym.dll注入到winlogon.exe中

绅博周幸

AVAST