终结者的变种？

hillock

格式化c盘，重装系统，没有操作其他磁盘。安装卡吧的过程中，浏览一个百度空间时，机器重起，中招。

生成一个进程，进程名由随机的八位数字和字母组成。

并在system32文件夹中生成同名的exe文件

还有两个七位文件名的dll文件，其中一个插入 winlogon.exe进程

附件中9D31B846.DLL插入进程

系统时间会被修改

感染exe文件不能确定，因为重装前机子就已经中了好多病毒（其他的磁盘的exe文件都被感染）．

现在无法上传附件，在http://www.virscan.org扫了一下

扫描结果 :	45%的杀软(13/29)报告发现病毒
时间 :	2007/08/31 21:09:14 (CST)

软件名称	引擎版本	病毒库版本	病毒库时间	扫描结果	时间
a-squared	3.0.0.123	2007.08.30	2007-08-30	-	3.990
Arcavir	1.0.4	200708301939	2007-08-30	-	1.299
AVAST	1.0.8	000770-0	2007-08-30	Win32:Agent-JOF [Trj]	3.068
AVG	7.5.48.442	269.13.1/981	2007-08-31	BackDoor.Hupigon2.JEB	1.543
BitDefender	7.60825.815415	7.14574	2007-08-31	-	11.927
CA (VET)	8.4.0.24	31.1.5099	2007-08-31	Win32/Pipown!generic worm.	0.905
ClamAV	0.91.1	4110	2007-08-31	-	0.253
ewido	4.0.0.2	2007.08.30	2007-08-30	-	2.106
F-SECURE	5.51.6100	2007.08.30.11	2007-08-30	-	2.923
IKARUS	T3.1.1.12	2007.08.31.69422	2007-08-31	Trojan-PWS.Win32.Agent.BU	1.285
MKS_VIR	2.01	2007.08.31	2007-08-31	-	1.970
NOD32	2.70.8	2493	2007-08-31	-	0.155
nProtect	2007-08-30.00	38096	2007-08-30	-	20.269
QuickHeal	9.00	2007.08.30	2007-08-30	Suspicious - DNAScan	2.435
SOPHOS	2.49.1	4.21	2007-08-31	Mal/Behav-119	2.456
VBA32	3.12.2.3	20070830.0607	2007-08-30	-	1.015
VirusBuster	4.3.19:9	9.099.11/11.0	2007-08-30	Packed/NSPack	1.002
冰岛杀毒	3.16.16	2007.08.30	2007-08-30	-	1.572
卡巴斯基	5.5.10	2007.08.31	2007-08-31	-	0.265
大蜘蛛	4.33	2007.08.31	2007-08-31	Trojan.Popwin	5.793
小红伞	7.4.1.66	6.39.1.71	2007-08-31	BDS/Exaal.45056	2.383
江民杀毒	10.00.650	2007.08.30	2007-08-30	Trojan/Agent.oix	0.757
熊猫卫士	9.04.03.0001	2007.08.30	2007-08-30	Suspicious file	3.521
瑞星	19.0	19.38.41.00	2007-08-31	Trojan.Win32.VB.xjj	2.302
诺曼	5.91.05	5.90	2007-08-31	Hupigon.gen66	2.727
赛门铁克	1.3.0.24	20070830.009	2007-08-30	-	0.323
趋势	8.500-1001	4.681.00	2007-08-30	-	0.049
迈克菲	5.1.00	5109	2007-08-30	-	1.935
金山毒霸	2007.6.20.249	2007.9.1	2007-09-01	-	0.863

[ 本帖最后由 hillock 于 2007-9-1 13:40 编辑 ]

曲中求

期待你的样本，没有屏蔽权限？

1688388728

样本呢.

tracydk

期待样本中

chenrui19930

同意LSD

hillock

上传时显示：


附件文件无法保存到服务器，可能是目录属性设置问题，请与管理员联系。

cy6266812

刚一点下载卡吧就报警了

tracydk

Starting the file scan:

Begin scan in 'F:\病毒样本\yangben.rar'
F:\病毒样本\yangben.rar
  [0] Archive type: RAR
  --> 7E83ED93.exe
      [DETECTION] Is the Trojan horse TR/Crypt.NSPM.Gen
  --> 9D31B846.DLL
      [DETECTION] Contains a signature of the (dangerous) backdoor program BDS/Exaal.45056 Backdoor server programs
      [INFO]      The file was deleted!

ssy275

Result: 2 malware found
Trojan-Downloader.Win32.Agent.crw (virus)
C:\Documents and Settings\ssy\×ÀÃæ\yangben.rar\7E83ED93.exe
C:\Documents and Settings\ssy\×ÀÃæ\yangben.rar\9D31B846.DLL

lengxue624

AV不感染其他文件吧,应该是AV下的木马又下了威金之类的病毒感染所致